Axios compromis : attaque par chaîne d'approvisionnement

Le mainteneur a depuis réagi en reformatant l'ensemble de ses systèmes, en réinitialisant tous ses comptes et en prévoyant d'utiliser une clé de sécurité FIDO pour renforcer la sécurité de ses accès.

Il convient de noter que Security.NL est une source d'information secondaire qui rend compte de la déclaration publiée par le mainteneur sur GitHub. Cette déclaration originale n'a pas été citée directement comme source primaire, et certains détails doivent donc être traités avec prudence.

Pourquoi cela concerne-t-il les petites entreprises ?

Si votre site internet ou votre application web a été développé par un prestataire, il y a de bonnes chances qu'il utilise des bibliothèques comme Axios en arrière-plan. Lorsqu'une bibliothèque populaire est compromise de cette façon, on parle d'attaque par chaîne d'approvisionnement logicielle. Le risque ne vient pas de votre propre code, mais des outils de confiance dont votre site dépend.

Ce type d'attaque rappelle que la sécurité du logiciel sur lequel repose votre site internet dépend directement de la fiabilité des personnes qui le maintiennent. Les développeurs qui créent et maintiennent des sites web doivent vérifier si les bibliothèques qu'ils utilisent ont été affectées et mettre à jour vers des versions saines dans les meilleurs délais.

Vous trouverez des conseils pratiques pour sécuriser votre site dans notre liste de contrôle sécurité pour les petites entreprises ainsi que dans notre guide sur les plugins WordPress vulnérables.

Qu'est-ce que cela signifie pour votre site internet ?

Si votre site a été créé par un prestataire externe, il vaut la peine de lui demander s'il utilise Axios ou des bibliothèques similaires, et s'il a vérifié d'éventuels problèmes à la suite de cet incident. Maintenir à jour les logiciels dont dépend votre site est l'une des façons les plus simples de réduire votre exposition au risque. Même si vous gérez une petite structure comme une boulangerie ou un salon de coiffure, votre site internet peut être affecté par des vulnérabilités présentes dans des outils très largement utilisés.