Hậu quả của cuộc tấn công chuỗi cung ứng Axios: Từ ngày mai, tất cả các ứng dụng Mac cũ của OpenAI sẽ không hoạt động nữa

Theo theo dõi Beating, chứng chỉ ký macOS của OpenAI sẽ chính thức bị thu hồi vào ngày mai (8 tháng 5). Lúc đó, các phiên bản cũ của ChatGPT Desktop, Codex, Codex CLI và Atlas không cập nhật sẽ không thể khởi động nữa và cũng không còn nhận được cập nhật. Hãy cập nhật ngay phiên bản Mac bằng cách cập nhật trong ứng dụng hoặc tải xuống từ trang chính thức của OpenAI.

Vấn đề bắt nguồn từ một cuộc tấn công chuỗi cung ứng npm vào ngày 31 tháng 3. Axios, một thư viện HTTP JavaScript với hơn 70 triệu lượt tải mỗi tuần, đã bị kẻ tấn công sử dụng tài khoản duy trì bị đánh cắp để phát hành hai phiên bản độc hại (1.14.1 và 0.30.4). Các phiên bản độc hại này đã chèn một phụ thuộc giả tên là plain-crypto-js, khi cài đặt sẽ tự động tải xuống một phần mềm điều khiển từ xa (RAT), nhằm mục đích tấn công từ xa, ảnh hưởng đến cả macOS, Windows và Linux. Microsoft cho rằng cuộc tấn công này có nguồn gốc từ nhóm hacker Triều Tiên Sapphire Sleet.

Các workflow của OpenAI trên GitHub Actions khi xây dựng ứng dụng macOS đã tự động lấy các phiên bản độc hại này, và workflow này có thể truy cập chứng chỉ ký ứng dụng. Phân tích của OpenAI cho thấy khả năng cao là chứng chỉ không bị đánh cắp thành công, nhưng để phòng ngừa rò rỉ, đã đổi mới chứng chỉ và hợp tác với Apple để chặn các kênh chứng thực cũ. Hiện chưa phát hiện có rò rỉ dữ liệu người dùng, xâm nhập hệ thống hoặc phần mềm bị sửa đổi, và các mật khẩu cùng API key cũng không bị ảnh hưởng.

Nguyên nhân gốc rễ là do cấu hình workflow: khi tham chiếu phụ thuộc, đã sử dụng nhãn phiên bản linh hoạt thay vì commit hash cố định, và cũng không thiết lập minimumReleaseAge (thời gian chờ sau khi phát hành bản mới), dẫn đến các phiên bản độc hại tự động được đưa vào xây dựng ngay khi ra mắt.

Xem bản gốc
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
  • Phần thưởng
  • Bình luận
  • Đăng lại
  • Retweed
Bình luận
Thêm một bình luận
Thêm một bình luận
Không có bình luận
  • Ghim