Aller au contenu
Sécurité medium

Sha1-Hulud (2e vague)

3 min de lecture
Point de compromission dans la chaîne Rupture · étape Registres
Source
amont
Dépendances
deps
Build & CI
ci
Packaging
artefact
Release
provenance
Registres
Registres
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape Registres, propagation possible aux consommateurs. Domaines : Orchestration, Release, Secrets
Gravité critique
Sha1-Hulud, deuxième vague : Zapier, ENS Domains et d'autres paquets npm en vue compromis.
70+
paquets npm compromis
10+ Mo
charge bun_environment
preinstall
déclencheur (npm install)
Bun
runtime abusé

En bref

Date
15/12/2025
Gravité
Critique
Étape de la chaîne
Registres
Domaines SOCLE
Orchestration+ Release, Secrets

Que s'est-il passé ?

Contexte

L'écosystème JavaScript subit une nouvelle vague du ver Shai-Hulud, baptisée « Sha1-Hulud: The Second Coming » : plus de 70 paquets npm compromis, le code volant puis exposant publiquement les identifiants des développeurs.

Mécanisme

L'attaque s'exécute via un preinstall (node setup_bun.js) qui installe silencieusement le runtime Bun depuis bun.sh, puis lance la charge bun_environment.js (10+ Mo), extrêmement obfusquée (tableau hex massif, anti-analyse), ciblant runners CI/CD et postes de dev.

Impact

Le ver vole les credentials puis les publie publiquement, signant l'un des incidents de supply chain les plus marquants récents. Le déclenchement au npm install touche aussi bien la CI que les machines des développeurs.

Parades

Désactiver les scripts d'installation (ignore-scripts) ou les confiner, identités de publication courtes (OIDC), filtrage de l'egress en CI, et rotation d'urgence des secrets après exposition.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Identités de publication courtes (OIDC) ; détection de republication ; confinement du rayon d'explosion (egress filtre).

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 5 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn