axios 공급망 공격 대응 조치
axios npm 패키지 오염에 대응해 빌드 인프라 차단과 배포 복구 안내를 추가했습니다.
교안에 영향
기존 안내에서 axios@1.14.1 또는 axios@0.30.4 사용 시 별도 조치가 필요하다는 점을 반영해야 합니다.
요약
- axios npm 패키지의 공급망 공격에 대응해 Vercel이 완화 조치를 시행했습니다. - 빌드 인프라에서 Command & Control 호스트명 sfrclak .com으로의 외부 접속을 차단했습니다. - 악성 패키지 버전은 npm에서 비공개 처리되었고, 최신 태그는 안전한 axios@1.14.0을 가리키도록 바뀌었습니다. - 영향 받은 axios@1.14.1, axios@0.30.4, plain-crypto-js@4.2.1 점검과 재배포, 비밀 값 교체를 권고했습니다.
바뀐 것
기타
- Vercel의 인프라와 애플리케이션은 영향을 받지 않았습니다.
- 영향 받을 수 있는 버전으로 axios@1.14.1, axios@0.30.4, plain-crypto-js@4.2.1을 확인하도록 안내했습니다.
- 배포에 악성 패키지 버전이 사용됐을 수 있으면 lockfiles와 node_modules에서 plain-crypto-js를 찾고 프로젝트를 재배포하며, API 키와 데이터베이스 자격 증명, 토큰 등 민감한 값을 교체하라고 안내했습니다.
- 의존성 트리에서 axios@1.14.1 또는 axios@0.30.4를 찾아 axios@1.14.0으로 업데이트하라고 안내했습니다.
수정
- axios npm 패키지의 공급망 공격에 대응해 Vercel이 조사와 완화 조치를 진행했습니다.
- 빌드 인프라에서 Command & Control 호스트명 sfrclak .com으로의 외부 접근을 차단했습니다.
- 악성 버전의 패키지를 차단하고 npm에서 비공개 처리했습니다.