코사인: 독이 든 Ledger npmjs 버전이 제거되었지만, jsDelivr에 여전히 독이 든 js 파일이 있습니다.

슬로우 미스트의 설립자 유신은 X 플랫폼의 게시물을 통해 레저 커넥트 키트 취약점 사건에 대응하여 프로젝트 측이 다음 사항에 주의를 기울여야 한다고 말했습니다: 1. Ledger는 npmjs 플랫폼에서 독이 든 모듈이었고, 전 직원의 npmjs 계정이 피싱으로 탈취되었으며, 공격자는 독이 든 모듈 버전을 임의로 릴리스 할 수 있습니다. 2. 게시된 모듈은 jsDelivr CDN에서 자동으로 업데이트됩니다. 3. Ledger의 Connect Kit는 파일 해시 바인딩이없고 도입 된 버전에 대한 엄격한 제한이없는 매우 무차별 대입 인 jsDelivr CDN js 파일을 직접 도입합니다. 4. 전직 직원이 실제로 중요한 권한을 떠난 경우 내부 보안 관리 메커니즘을 강화해야하며, 내부 악이 효과적으로 피할 수 있는지, 적시에 탐지 할 수 있는지 여부에 관계없이 최악의 원칙을 강화해야합니다. 5. Ledger npmjs 버전이 삭제되었지만 jsDelivr에 독이있는 js 파일이 여전히 존재한다는 점에 유의해야합니다. 다른 프로젝트 당사자들이 배울 수 있는 이러한 보안 권장 사항은 게으르지 말고 모든 보안 사고를 검토할 수 있는 좋은 기회입니다.