
2026/06/01 22:30
Red Hat クラウドサービスで悪意のある npm パッケージが検出されました
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
@redhat-cloud-services スコープ下の NPM に公開されている複数の npm パッケージが侵害され、Red Hat Cloud Services を利用する開発者やエンタープライズにとって即座のリスクを発生させているという重要なセキュリティアラートが確認されました。この脆弱性は、コアクライアントツール、フロントエンドユーティリティ、コンプライアンス機器、翻訳サービス(例:@redhat-cloud-services/insights-client、frontend-components、compliance-client)を含む広範なエコシステムをまたいでいます。セキュリティの詳細は StepSecurity フィード(https://app.stepsecurity.io/oss-security-feed?q=@redhat-cloud-services)を通じて入手可能で、影響を受けるパッケージの全リストとバージョン範囲は同社のブログ記事(https://www.stepsecurity.io/blog/multiple-redhat-cloud-services-npm-packages-compromised)に記載されています。これらの依存関係を使用している組織は、潜在的なデータ漏洩や不正アクセスを防ぐために、緊急に公式勧告でリストされているパッチ済みバージョンへの更新と見直しを行う必要があります。
Text to translate:
A critical security alert confirms that multiple npm packages under the
@redhat-cloud-services scope published on NPM are compromised, posing immediate risks to developers and enterprises relying on Red Hat Cloud Services. The vulnerability spans a broad ecosystem of core client tools, frontend utilities, compliance instruments, and translation services (e.g., @redhat-cloud-services/insights-client, frontend-components, compliance-client). Security details are available via the StepSecurity feed: https://app.stepsecurity.io/oss-security-feed?q=@redhat-cloud-services, with a full list of affected packages and version ranges in their blog: https://www.stepsecurity.io/blog/multiple-redhat-cloud-services-npm-packages-compromised. Organizations using these dependencies should urgently review and update to patched versions listed in the official advisory to prevent potential data breaches and unauthorized access.本文
Red Hat Cloud Services NPM パッケージの侵害に関するセキュリティ警報
Red Hat Cloud Services に属する複数の NPM パッケージ が、権限昇級(Privilege Escalation)脆弱性を有していると確認されました。この事象は、@stepsecurity というセキュリティ調査チームによって発見・報告されています。
影響を受けるソフトウェアとバージョン
以下のパッケージが影響を受けています。太字にした版本号は脆弱化されている可能性のあるバージョンです。脆弱性を回避するため、これらのバージョンを使用していませんか?
: 2.3.1, 2.3.2, 2.3.4@redhat-cloud-services/chrome
: 4.0.3, 4.0.4, 4.0.6@redhat-cloud-services/compliance-client
: 5.0.4, 5.0.5, 5.0.7@redhat-cloud-services/config-manager-client
: 4.0.11, 4.0.12, 4.0.14@redhat-cloud-services/entitlements-client
: 3.2.1, 3.2.2, 3.2.4@redhat-cloud-services/eslint-config-redhat-cloud-services
: 7.7.2, 7.7.3, 7.7.5@redhat-cloud-services/frontend-components
: 3.8.2, 3.8.4, 3.8.6@redhat-cloud-services/frontend-components-advisor-components
: 6.11.3, 6.11.4, 6.11.6@redhat-cloud-services/frontend-components-config
: 4.11.2, 4.11.3, 4.11.5@redhat-cloud-services/frontend-components-config-utilities
: 6.9.2, 6.9.3, 6.9.5@redhat-cloud-services/frontend-components-notifications
: 4.9.2, 4.9.3, 4.9.5@redhat-cloud-services/frontend-components-remediations
: 1.2.1, 1.2.2, 1.2.4@redhat-cloud-services/frontend-components-testing
: 4.4.1, 4.4.2, 4.4.4@redhat-cloud-services/frontend-components-translations
: 7.4.1, 7.4.2, 7.4.4@redhat-cloud-services/frontend-components-utilities
: 0.3.1, 0.3.2, 0.3.4@redhat-cloud-services/hcc-feo-mcp
: 0.3.1, 0.3.2, 0.3.4@redhat-cloud-services/hcc-kessel-mcp
: 0.6.1, 0.6.2, 0.6.4@redhat-cloud-services/hcc-pf-mcp
: 5.0.3, 5.0.4, 5.0.6@redhat-cloud-services/host-inventory-client
: 4.0.4, 4.0.5, 4.0.7@redhat-cloud-services/insights-client
: 6.0.4, 6.0.5, 6.0.7@redhat-cloud-services/integrations-client
: 2.0.8, 2.0.9, 2.0.11@redhat-cloud-services/javascript-clients-shared
: 6.1.4, 6.1.5, 6.1.7@redhat-cloud-services/notifications-client
: 4.0.4, 4.0.5, 4.0.7@redhat-cloud-services/patch-client
: 4.0.11, 4.0.12, 4.0.14@redhat-cloud-services/quickstarts-client
: 9.0.3, 9.0.4, 9.0.6@redhat-cloud-services/rbac-client
: 4.0.4, 4.0.5, 4.0.7@redhat-cloud-services/remediations-client
: 4.7.2, 4.7.3, 4.7.5@redhat-cloud-services/rule-components
: 3.0.10, 3.0.11, 3.0.13@redhat-cloud-services/sources-client
: 3.0.10, 3.0.11, 3.0.13@redhat-cloud-services/topological-inventory-client
: 1.2.2, 1.2.4, 1.2.6@redhat-cloud-services/tsc-transform-imports
: 3.6.1, 3.6.2, 3.6.4@redhat-cloud-services/types
: 2.1.9, 2.1.11@redhat-cloud-services/vulnerabilities-client
脆弱性の概要とリスク
今回の侵害は、特定の条件下で攻撃者が実行権限を取得できることを可能にするものとして判明しています。
- 影響範囲: 20 種類以上のパッケージ が対象となりました。
- 被害想定: 攻撃者はシステム内での権限昇級 (Privilege Escalation) を実行し、セキュリティプロバイダやユーザーのデータにアクセスするリスクがあります。
対策と補足情報
脆弱性を解消するためには、以下の手順を推奨します。
1. パッケージの更新
影響を受けるパッケージを使用している場合、最新バージョンへのアップグレードが最も確実な対策です。
npm または yarn を使用している開発者は、以下のようなコマンドで依存関係を再構築することをお勧めします。
# npm を利用する場合 npm audit fix # より手動で特定の脆弱化パッケージを更新する場合は以下の命令を使用 npm install @redhat-cloud-services/chrome@latest --save # ... 他の対象パッケージも同様に更新してください
2. オートメーションによる監視
最新のセキュリティフィードや CVE データは、StepSecurity の公開リポジトリから確認できます。自動化ツールとの連携を強化することも重要です。
-
OSS セキュリティフィードの確認:
https://app.stepsecurity.io/oss-security-feed?q=@redhat-cloud-services -
詳細レポート:
StepSecurity ブログ記事(侵害の詳細)
3. システムの監査
現在、上記の脆弱化バージョンがプロダクション環境に含まれていないか確認してください。もし含まれている場合は、早期更新を実施することをお勧めします。