慢霧：注意排除axios惡意版本1.14.1/0.30.4及OpenClaw npm全域安裝歷史暴露風險
8
1
PANews 3月31日訊息，慢霧再次發布安全提醒稱，注意排查axios惡意版本1.14.1/0.30.4及OpenClaw npm全域安裝歷史暴露風險，[email protected]與[email protected]已被確認為惡意版本，兩者皆被使用在網路上所依賴於平台
OpenClaw受影響情況分場景判斷：原始碼建置不受影響，因鎖定檔案鎖定的版本為1.13.5/1.13.6；但透過npm install -g [email protected]安裝的使用者有歷史暴露風險，原因是依賴鏈中存在optionalDependencies.axios@^1.7.4，在惡意版本仍在線的時間窗口內可能被解析到[email protected]。 目前npm已回退解析到[email protected]，但在攻擊視窗內安裝過的環境仍建議排查。
慢霧提供了各平台的排查指令和IoC路徑，若發現plain-crypto-js目錄存在，即使package.json已被清理，也應視為高風險執行痕跡。 建議受影響主機立即輪換憑證並進行主機側排查。
先前消息，慢霧創始人餘弦提醒稱，OpenClaw 3.28版本可能會引入帶毒版本的axios，用戶需緊急排查。
來源:
