Je viens de voir un incident de sécurité de la chaîne d'approvisionnement assez grave, la bibliothèque cliente HTTP la plus utilisée en JavaScript, axios, a été attaquée.

Voici ce qui s’est passé : l’attaquant a volé le jeton d’accès npm du mainteneur principal d’axios, puis a publié directement deux versions malveillantes contenant un cheval de Troie à distance, à savoir axios@1.14.1 et axios@0.3.4, qui peuvent fonctionner sur macOS, Windows et Linux. Ces packages malveillants sont restés sur npm pendant environ 3 heures avant d’être découverts et supprimés.

Ce qui est le plus effrayant, c’est l’étendue de l’impact. axios est téléchargé plus d’un milliard de fois par semaine, selon les données de la société de sécurité Wiz, environ 80 % des environnements cloud et de code contiennent axios. La société de sécurité Huntress a réagi rapidement, détectant la première infection en moins de 2 minutes après la mise en ligne du package malveillant, et ils ont confirmé qu’au moins 135 systèmes avaient été compromis.

Ce qui mérite encore plus d’attention, c’est que le projet axios a déjà déployé des mesures de sécurité modernes, notamment un mécanisme de publication fiable OIDC et une preuve de traçabilité SLSA, mais les attaquants ont complètement contourné ces protections. L’enquête a révélé que le problème venait de la configuration : axios, tout en activant OIDC, conservait également un ancien jeton npm à long terme, le NPM_TOKEN, et npm privilégie par défaut ce jeton traditionnel lorsque les deux coexistent. Cela a permis aux attaquants de profiter de la faille.

Cet incident nous rappelle que disposer uniquement d’outils de sécurité ne suffit pas, la configuration et la gestion des processus sont tout aussi cruciales. De nombreux projets open source pourraient faire face à des vulnérabilités similaires.