Acabei de ver um evento bastante grave de segurança na cadeia de suprimentos. A biblioteca cliente HTTP mais popular em JavaScript, o axios, foi atacada.

Resumidamente, o atacante roubou o token de acesso do principal mantenedor do axios no npm e lançou duas versões maliciosas com cavalos de Troia de acesso remoto (versões 1.14.1 e 0.3.4), direcionadas a macOS, Windows e Linux. Essas versões maliciosas ficaram disponíveis no registro npm por cerca de 3 horas antes de serem removidas.

Ainda mais assustador é o alcance do impacto. Segundo a empresa de segurança Wiz, o axios é baixado mais de 100 milhões de vezes por semana, estando presente em aproximadamente 80% dos ambientes de nuvem e código. Isso significa que o número de sistemas potencialmente afetados pode ser bastante grande. A Huntress, outra empresa de segurança, detectou as primeiras infecções apenas 89 segundos após o lançamento das versões maliciosas e, durante a janela de exposição, confirmou que pelo menos 135 sistemas haviam sido comprometidos.

O mais interessante é que o projeto axios já tinha implementado mecanismos modernos de segurança, como o mecanismo de publicação confiável OIDC e a prova de rastreabilidade SLSA. Mas o atacante conseguiu contornar completamente essas medidas. A investigação revelou que o problema estava na configuração — enquanto o projeto ativava o OIDC, ainda mantinha o tradicional token npm de longa duração (NPM_TOKEN), e o npm, ao coexistir com ambos, priorizava o uso do token antigo por padrão. Como resultado, o atacante não precisou quebrar o OIDC, apenas usou o token antigo para publicar com sucesso.

O que essa situação nos ensina? Por mais avançados e robustos que sejam os mecanismos de segurança, uma configuração incorreta os torna inúteis. O exemplo do axios nos alerta de que a segurança na cadeia de suprimentos não é apenas uma questão técnica, mas também de atenção aos detalhes na implementação. Se seu projeto ou aplicação depende de bibliotecas open source amplamente utilizadas, talvez seja hora de verificar suas versões de dependências.