Mistral AI、TanStackインシデントに関連するサプライチェーン攻撃でNPMとPyPIパッケージが侵害

Mistral AIは、​TanStackセキュリティインシデント​​に関連するサプライチェーン攻撃の影響を受け、同社のNPMおよびPyPIパッケージの一部バージョンが侵害されたことを明らかにしました。

影響を受けたNPMパッケージは、存在しないファイルを参照するため実質的に無害でしたが、PyPIにアップロードされた悪意のあるパッケージは、インポート時にバックグラウンドプロセスを生成し、認証情報を窃取するスクリプトを実行する恐れがありました。 このPyPIのパッケージは​Linux環境​​のみで実行される仕組みになっていました。

Mistral社によると、この攻撃は開発者のデバイスが侵害されたことによるものであり、同社のインフラストラクチャ自体が侵害された形跡はないとのことです。 問題のパッケージはすでに削除または隔離されていますが、影響を受けたバージョンを使用していた可能性がある場合は、システムからの削除やシークレット情報のローテーションなどの対策が推奨されています。