CVE-2017-16077: falha em HackerOne mongose node module
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Um pacote falso chamado 'mongose' (imitando a biblioteca legítima 'mongoose') foi publicado no npm com código malicioso para roubar variáveis de ambiente dos desenvolvedores. O pacote foi removido posteriormente.
Um ataque de typosquatting explorando o registro de pacotes do npm, onde um módulo malicioso executava código durante a instalação para exfiltrar variáveis de ambiente (potencialmente contendo chaves de API, credenciais e segredos). O vetor de ataque requer a instalação do pacote pelo desenvolvedor, e o modelo de ameaça assume falta de verificação adequada das dependências na cadeia de suprimentos.