Acabo de ver un incidente bastante grave de seguridad en la cadena de suministro. La biblioteca cliente HTTP más popular de JavaScript, axios, fue atacada.

En pocas palabras, los atacantes robaron el token de acceso del principal mantenedor de axios en npm y luego lanzaron dos paquetes maliciosos con troyanos de acceso remoto (versiones 1.14.1 y 0.3.4), dirigidos a macOS, Windows y Linux. Estas versiones maliciosas estuvieron en el registro de npm durante aproximadamente 3 horas antes de ser eliminadas.

Lo más aterrador es el alcance del impacto. Según la empresa de seguridad Wiz, axios se descarga más de 100 millones de veces por semana y está presente en aproximadamente el 80% de los entornos en la nube y de código. Esto significa que la cantidad potencial de sistemas afectados podría ser bastante grande. La empresa de seguridad Huntress detectó las primeras infecciones solo 89 segundos después de que los paquetes maliciosos se lanzaran y, durante la ventana de exposición, confirmó que al menos 135 sistemas habían sido comprometidos.

Lo más interesante es que el proyecto axios ya había implementado mecanismos de publicación confiable OIDC y pruebas de trazabilidad SLSA, que son medidas de seguridad modernas. Pero los atacantes aún lograron eludir completamente estas protecciones. La investigación reveló que el problema residía en la configuración: el proyecto, al habilitar OIDC, todavía mantenía el antiguo token npm de larga duración, y npm, al coexistir ambos, priorizaba por defecto el uso del token tradicional. Como resultado, los atacantes no necesitaron superar OIDC, simplemente usaron el token antiguo para publicar con éxito.

¿De qué nos enseña esto? Por muy nuevas y fuertes que sean las medidas de seguridad, una configuración incorrecta también las vuelve inútiles. El ejemplo de axios nos advierte que la seguridad en la cadena de suministro no es solo un asunto técnico, sino que también depende de la atención a los detalles en la implementación. Si tu proyecto o aplicación depende de bibliotecas de código abierto ampliamente utilizadas, quizás sea momento de revisar tus dependencias.