Überprüfen Sie alle Projekte, die npm verwenden, um festzustellen, ob sie auf die automatische Ausführung von Skripten aus Abhängigkeiten angewiesen sind.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
NPM 12 Will Change Script Execution Behavior to Prevent Supply Chain Attacks
NPM 12 wird standardmäßig keine Skripte aus Abhängigkeiten mehr ausführen, um Supply-Chain-Angriffe zu verhindern. Dies betrifft alle Nutzer, die `npm install` verwenden. Anwender sollten explizit erlauben, welche Skripte ausgeführt werden dürfen, um die Sicherheit zu erhöhen.
SecBoard-Einordnung
Diese Änderung verbessert die Sicherheit der Software-Lieferkette, indem sie eine gängige Angriffsvektor für Supply-Chain-Angriffe schließt. Sie erfordert jedoch möglicherweise Anpassungen in Build-Prozessen oder CI/CD-Pipelines, die sich auf die automatische Skriptausführung verlassen.
Realistisch schlimmster Fall: Ohne Anpassung könnten Build-Prozesse oder Anwendungen, die auf die automatische Ausführung von Installationsskripten angewiesen sind, fehlschlagen. Im schlimmsten Fall, wenn die Änderung nicht beachtet wird, könnten Organisationen weiterhin anfällig für Supply-Chain-Angriffe sein, wenn sie die Skriptausführung global oder unsicher aktivieren.
Empfehlung: Überprüfen Sie alle Projekte, die npm verwenden, um festzustellen, ob sie auf die automatische Ausführung von Skripten aus Abhängigkeiten angewiesen sind. Planen Sie die Aktualisierung auf NPM 12 und passen Sie bei Bedarf die Konfiguration an, um benötigte Skripte explizit zu erlauben.
Betroffen
Organisationen, die npm und JavaScript-Projekte entwickeln oder verwalten, insbesondere solche, die von Drittanbieter-Paketen abhängen.
Prüfen
3- ▸Überprüfen Sie die aktuellen npm-Versionen in Ihren Entwicklungsumgebungen und CI/CD-Pipelines.
- ▸Identifizieren Sie alle `package.json`-Dateien, die `preinstall`, `postinstall` oder andere Skripte in Abhängigkeiten definieren oder nutzen.
▸ 1 weitere▾ weniger
- ▸Testen Sie die Installation von Abhängigkeiten mit einer Vorabversion von NPM 12 (falls verfügbar) oder simulieren Sie das neue Verhalten, um potenzielle Fehler zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Das genaue Veröffentlichungsdatum von NPM 12 ist im Artikel nicht angegeben.
- ▸Spezifische Konfigurationsoptionen oder Befehle zum expliziten Erlauben von Skripten werden nicht detailliert beschrieben.
- ▸Es werden keine spezifischen betroffenen Branchen oder Länder genannt.
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Supply-Chain-Angriffe können potenziell die Integrität von Systemen beeinträchtigen und die Wiederherstellung erschweren, was durch diese Änderung verhindert werden soll.“
„Die Änderung zielt darauf ab, die Fähigkeit von Angreifern zu beehöhen, Verteidigungsmechanismen zu umgehen, indem sie die automatische Skriptausführung deaktiviert.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- GitHub TrendingFrüherkennungnpm-shai-hulud-scanner — Comprehensive detection tool for NPM supply chain attacks, specifically designed to identify and prevent the Shai-Hulud worm and Shai-Hulud 2-0-0 that compromised 1193+ packages including CrowdStrike npm packages in 2025.
- SecurityWeekKontextOver 100 NPM, PyPI Packages Hit in New Shai-Hulud Supply Chain Attacks
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.