Bitwarden Cli 遭遇供应链攻击

[EeveeRibbon]

https://socket.dev/blog/bitwarden-cli-compromised

安装了恶意 Bitwarden npm 包的组织应将此事件视为凭证泄露和 CI/CD 入侵事件。
立即从开发人员系统和构建环境中移除受影响的软件包。轮换所有可能已暴露给这些环境的凭据，包括 GitHub 令牌、npm 令牌、云凭据、SSH 密钥和 CI/CD 密钥。检查 GitHub 是否存在未经授权的仓库创建、.github/workflows/ 目录下是否存在意外的工作流文件、是否存在可疑的工作流运行、工件下载以及是否存在符合观察到的 Dune 主题暂存模式（{word}-{word}-{3digits}）的公共仓库。

[superrichman]

对普通用户没有影响

[glouhao]

value warden 有没有

[ShutTheFu2kUP]

跟前段时间 apifox 的事件一样是吧...当时也是供应链遭到攻击

[Somboon]

Bitwarden 官方发布的声明： https://community.bitwarden.com/t/bitwarden-statement-on-checkmarx-supply-chain-incident/

从声明来看，实际影响范围非常小，受影响的包总共只有 334 次下载。

话说我昨天第一时间就看到了 Bitwarden 的官方回应，但今天刷到那么多转发“Bitwarden Cli 遭遇供应链攻击”的新闻和自媒体，几乎没一个提到官方的应对和后续处理……也是挺无语的🙃

[EeveeRibbon]

@Somboon #4 因为我感觉明白自己遇到问题的会自己去链接里面看完整过程，大多数人也就是吃一下瓜...