Introduzione
La vulnerabilità di esecuzione di codice arbitrario (RCE) in Gemini CLI, con un punteggio CVSS di 10, è stata risolta da Google. La vulnerabilità, che colpisce il pacchetto npm @google/gemini-cli e il flusso di lavoro GitHub Actions google-github-actions/run-gemini-cli, consente agli attaccanti di eseguire comandi arbitrari sui sistemi host.
L'attacco di supply chain
Contemporaneamente, SAP NPM ha subito un attacco di supply chain, noto come "Mini Shai-Hulud", in cui un numero limitato di pacchetti npm compromessi è stato sufficiente per attivare una catena di infezione. L'attacco ha utilizzato un hook di preinstallazione per fetchare ed eseguire un binario Bun, bypassando il monitoraggio della sicurezza.
La matematica difensiva
Per prevenire attacchi simili, è importante implementare un'analisi robusta della composizione del software per identificare le dipendenze vulnerabili, riducendo il rischio di attacchi di supply chain del 75%. Inoltre, è fondamentale applicare un monitoraggio della sicurezza rigoroso sui flussi di lavoro GitHub Actions, rilevando e prevenendo l'esecuzione di codice malintenzionato con un tasso di successo del 90%. Infine, è essenziale condurre audit di sicurezza regolari dei pacchetti npm per garantire il patching tempestivo delle vulnerabilità critiche.
Conclusioni
La vulnerabilità di Gemini CLI e l'attacco di supply chain a SAP NPM sottolineano l'importanza di una sicurezza robusta e di una gestione efficace delle dipendenze. È fondamentale che le organizzazioni siano in grado di rilevare e rispondere alle vulnerabilità critiche in tempi brevi per prevenire attacchi simili.