Acabo de ver un incidente bastante grave de seguridad en la cadena de suministro, en el que la biblioteca de cliente HTTP más utilizada en JavaScript, axios, fue atacada.

La situación es así, el atacante robó el token de acceso npm del mantenedor principal de axios y luego publicó dos versiones maliciosas que contenían troyanos de acceso remoto, específicamente axios@1.14.1 y axios@0.3.4, que podían ejecutarse en macOS, Windows y Linux. Estos paquetes maliciosos estuvieron disponibles en npm durante aproximadamente 3 horas antes de ser detectados y eliminados.

Lo más alarmante es el alcance del impacto. axios tiene más de 100 millones de descargas semanales, y según datos de la empresa de seguridad Wiz, aproximadamente el 80% de los entornos en la nube y de código contienen axios. La empresa de seguridad Huntress reaccionó rápidamente, detectando las primeras infecciones en menos de 2 minutos desde que los paquetes maliciosos se publicaron, y confirmaron que al menos 135 sistemas habían sido comprometidos.

Aún más preocupante es que el proyecto axios ya había implementado medidas de seguridad modernas, incluyendo un mecanismo de publicación confiable OIDC y pruebas de trazabilidad SLSA, pero los atacantes lograron evadir completamente estas protecciones. La investigación reveló que el problema residía en la configuración: axios, al habilitar OIDC, mantenía también un token npm de larga duración tradicional, y cuando ambos coexistían, npm priorizaba por defecto el uso del token tradicional. Esto dio una oportunidad a los atacantes.

Este incidente nos recuerda que tener solo herramientas de seguridad no es suficiente; la configuración y la gestión de procesos son igualmente cruciales. Muchos proyectos de código abierto podrían estar enfrentando riesgos similares.