Security vulnerabilities in Vant 4.9.11 and other versions

[yoyo837]

[chenjiahan]

After investigation, it was found that the token of one of our team members might have been stolen. We are handling it urgently.

经排查可能是我们团队一名成员的 token 被盗用了，我们正在紧急处理

[snowdream]

请问什么原因会导致token 被盗用？

[chenjiahan]

源头是某个 GitHub Actions workflow 存在 Pwn Request 漏洞，位于另一个 GitHub 组织。Vant 和 Rspack 所在的组织以及维护者是被间接攻击的，本身不存在漏洞。

攻击者拿到了该 workflow 中的 token 后，利用该 token 具有的多组织贡献权限，直接 push 代码继续窃取其他 GitHub 组织 workflows 中的 token，最终拿到 Vant 与 Rspack 的 npm token。

目前相关 token 和源头 workflow 漏洞已经全部处理。

[yoyo837]

这个Pwn Request 漏洞 有相关链接可以看看吗？

[chenjiahan]

未来可能会公开更多信息

[chenjiahan]

The following abnormal versions have been injected with scripts by hackers and have all been marked as deprecated. Please do not use them!

以下异常版本被盗号者注入了脚本，已经全部标记为废弃，请勿使用！

[yoyo837]

废弃就可以了吗？是否需要重新发个干净的新包兜一下？

[chenjiahan]

在发布了

[yoyo837]

那辛苦每个分支都发一个 /抱拳

[chenjiahan]

v4 已发布：https://github.com/youzan/vant/releases/tag/v4.9.15

[chenjiahan]

A new and secure version has been released, and the npm latest tag already points to the new version:

已发布安全的新版本，npm latest tag 已经指向新版本：

• 4.9.15
• 3.6.16
• 2.13.6

The following are deprecated versions, please do not use ⚠️

以下是已经废弃的异常版本，请勿使用 ⚠️

• 4.9.14
• 4.9.13
• 4.9.12
• 4.9.11
• 3.6.15
• 3.6.14
• 3.6.13
• 2.13.5
• 2.13.4
• 2.13.3

[cloydlau]

看了下这些废弃的版本都是今天发布的，这是不是意味着只要今天没有安装过 vant 就没问题

[yoyo837]

npm ls vant 看一下实际安装版本是不是上述版本即可。

[seven-sent]

请问更旧的版本会受影响吗？比如2.13.2, 2.12.x?

[inottn]

请问更旧的版本会受影响吗？比如2.13.2, 2.12.x?

你好，更旧的版本不会受到影响。

[Nvi001]

请问2.12.53版本有没有受影响？

[fengmk2]

cnpm/bug-versions#262 npmmirror 应急修复

[chenjiahan]

Thanks! Can you add @rspack/core and @rspack/cli 1.1.7 too?

[fengmk2]

Thanks! Can you add @rspack/core and @rspack/cli 1.1.7 too?

cnpm/bug-versions#263

[chenjiahan]

Thanks! ❤️

[chenjiahan]

与本次事件关联的攻击：

攻击者基于一系列攻击，获取了 Rspack 维护者的 token，并发布了带有相同恶意代码的 Rspack 1.1.7 版本。

Rspack 团队已经在一小时内完成该版本的废弃处理，并发布了 1.1.8 修复版本，参考 web-infra-dev/rspack#8767 (comment)

目前相关 token 已经全部清理。

[chenjiahan]

是的，受影响的包为 @rspack/core 1.1.7 和 @rspack/cli 1.1.7，已经处理。

目前未发现其他受影响的 npm 包。

[DirtyPipe]

攻击者先在rspack注入恶意代码，然后用恶意的rspack打包vant？

[chenjiahan]

不是，先受攻击的是 vant npm 包。

该问题与 Rspack 打包无关，因为本次攻击者发布的 Rspack v1.1.7 是无法运行的错误版本。

[DirtyPipe]

师傅在哪里可以下载到恶意的版本吗？我想分析看看

[chenjiahan]

参考 #13275 (comment)

[xcy10988]

这个安全漏洞会导致什么bug或者情况呢

[yoyo837]

#13275 (comment)

[chenjiahan]

恶意代码分析参考：web-infra-dev/rspack#8767 (comment)

[zhiyouai]

请问问题版本具体的发布时间是什么时候，我们需要确认近两天刚发布的版本有没有受影响

[chenjiahan]

• 2024-12-19 8:40 攻击者发布首个有恶意代码的版本
• 2024-12-19 10:00 所有恶意版本被废弃
• 2024-12-19 10:30 安全的新版本发布

[ouzhou]

hi 如何检查自己是否中了，能给一个自检流程吗？在lock文件中找版本？
还有已经如果中了，如何清理

[yoyo837]

我之所以能比较早发现这个，是因为我有一个习惯，首先业务项目带lock, 然后想要更新依赖时，先npm outdated检查版本，发现有新版本时在更新前都会去GitHub看一下changelog, 从changelog里面判断是不是有不兼容更新，是否可以不做修改直接升级，由此才比较早发现这个。

[ouzhou]

大厂的npm源按理说都是走的自建的源，要走安全审查的吧？
一般小公司比如我们都是靠github自带的这个工具

不知道有没有告警

[icc-tips]

有没有可能进行最后一道程序 能提交代码的某位被盗号了

[PeakFish]

怎么检查一下自己电脑有没有中招哇

[iyanming]

同问

[zimo2013]

vant-weapp小程序包有没有注入恶意代码？

[inottn]

你好，小程序包没有受到影响。