NPM组件 @ai0x1337/budoux-extension 等窃取主机敏感信息

【高危】NPM组件 @ai0x1337/budoux-extension 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 @ai0x1337/budoux-extension 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

MPS编号	MPS-a53u-ni9v
处置建议	强烈建议修复
发现时间	2025-07-29
投毒仓库	npm
投毒类型	主机信息收集
利用成本	低
利用可能性	中

影响范围

影响组件	受影响的版本	最小修复版本
hubot-currencies	[10.0.0, 10.0.0]	-
bfiweb	[1.1.5, 1.1.5]	-
conformance-test	[1.0.0, 1.0.0]	-
me5war	[1.0.0, 1.0.0]	-
sapling-output-plugin	[1.0.0, 10.0.0]	-
@ra-web-tech-ui-toolkit/common-utils	[99.9.1, 99.9.1]	-
@cwlib/core	[30.0.20, 30.0.22]	-
vc-test-suite	[99.0.0, 99.0.3]	-
style-postprocessor	[1.0.0, 1.0.0]	-
isl-server	[0.157.0, 10.0.0]	-
@kodane/patch-manager	[1.0.0, 1.0.14]	-
xeno-executor	[2.0.0, 2.0.0]	-
sentry-utils	[7.77.0, 7.77.0]	-
wicked-executor	[2.0.1, 3.0.1]	-
momentjs-poc	[1.0.0, 1.0.1]	-
@ai0x1337/budoux-extension	[99.0.0, 99.0.0]	-
wbcm	[1.0.0, 4.0.0]	-
hashsentinel	[1.0.1, 1.0.1]	-
ifood-docusaurus-theme	[2.0.4, 2.0.4]	-
st-dog-de-cli	[1.9.99, 1.9.99]	-
inditextech	[1.0.0, 1.0.0]	-
st-cat-de-cli	[1.9.99, 22.0.0]	-
hyperion-react-native-testapp	[10.0.0, 10.0.0]	-
me5123	[1.0.0, 1.0.0]	-
testpkgcwlib	[5.0.1, 20.0.20]	-
eslint-config-pdffiller-typescript	[99.0.0, 99.0.0]	-
random-generations	[1.0.1, 1.0.2]	-
udn_extras	[1.0.0, 9999.0.0]	-
https-proxy-utils	[7.0.1, 7.0.1]	-
connected-cells	[7.7.7, 7.7.7]	-

参考链接

https://www.oscs1024.com/hd/MPS-a53u-ni9v

安全处理建议

1. 排查是否安装了受影响的包：
   使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
2. 立即移除受影响包：
   若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。
3. 全面检查系统安全：
   运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。
4. 加强依赖管理规范：

• 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
• 使用npm audit、yarn audit定期检查依赖漏洞。
• 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
• 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址：https://www.murphysec.com/adv?code=3I6R

提交漏洞情报：https://www.murphysec.com/bounty

关于本次投毒的分析

• 包名：@ai0x1337/budoux-extension@99.0.0
  攻击目标：BudouX相关项目
  理由：伪装成BudouX扩展包，版本异常（99.0.0），专门窃取安装用户主机敏感信息。

• 包名：@cwlib/core@30.0.20
  攻击目标：依赖cwlib的项目
  理由：冒充cwlib核心库（30.x.x版本），通过投毒窃取其用户主机名、IP等信息。

• 包名：st-cat-de-cli@1.9.99
  攻击目标：内部开发环境
  理由：疑似企业内部CLI工具，版本号特殊，定向收集开发者工作目录、用户名等信息。

• 包名：sentry-utils@7.77.0
  攻击目标：Sentry用户项目
  理由：伪装成Sentry工具包，诱骗安装以窃取使用Sentry项目的主机敏感数据。

• 包名：@ra-web-tech-ui-toolkit/common-utils@99.9.1
  攻击目标：UI工具包使用者
  理由：冒充组织内部UI工具包公共组件，针对其前端项目开发环境收集信息。