레드햇 클라우드 서비스의 파이프라인이 손상되어 악성 npm 패키지가 배포됐다.
레드햇 클라우드 서비스의 npm 패키지 'patch-client@4.0.4'가 신뢰할 수 있는 파이프라인을 통해 배포되었으며, 이는 클라우드 자격 증명을 훔치고 의도적으로 가짜 CodeQL 워크플로를 주입하는 악성 코드가 포함되어 있다. 현재 32개의 패키지가 동일한 게시자를 공유하고 있어 피해 가능성이 높다. 사용자는 '/redhat-cloud-services' 관련 패키지의 경우 4.0.3 버전을 사용해야 한다.
Red Hat Cloud Services' pipeline was compromised, leading to distribution of a malicious npm package.
The npm package 'patch-client@4.0.4' from Red Hat Cloud Services was released through its trusted pipeline, containing malicious code that steals cloud credentials and self-propagates by injecting fake CodeQL workflows. Currently, 32 packages share the same publisher, increasing the risk of exposure. Users with any related packages should revert to version 4.0.3.