TanStack npm 供應鏈入侵(Mini Shai-Hulud):發布流程被劫持,42 個 @tanstack 套件被植入竊取憑證的惡意程式

影響範圍

這不是 TanStack 程式碼本身的錯誤。攻擊者控制了 TanStack 的發布流程,以 TanStack 的名義把惡意程式放進 npm 套件。真正承擔風險的,是安裝了惡意版本的人。

版本說明: TanStack 的公告說每個套件剛好被發布兩個惡意版本(例如 @tanstack/react-router 1.169.5 與 1.169.8),84 個版本 / 42 個套件的數字也吻合。GitHub Advisory Database 也逐一列出同樣的 84 個版本,兩者一致。下表列出每個套件的兩個惡意版本與第一個安全版本(套件名稱皆省略 @tanstack/ 前綴):

曝險時間: TanStack 表示惡意版本上線後 20 到 26 分鐘就被發現;21:03 UTC 前 84 個版本全部標為棄用,npm 在 22:13 到 23:55 UTC 之間移除了套件檔。惡意版本的下載次數未能確認。

原理

TanStack 的事後檢討說明,攻擊者串聯了 GitHub Actions 設定中的三個弱點:

1. 「Pwn Request」。 一個由 pull_request_target 觸發的工作流程,會用主程式庫的權限執行外部 fork 送來的 PR 程式碼,而且第一次貢獻的人不需要核准。攻擊者先建立自己的分叉程式庫(fork)並刻意改名,讓它不容易在 fork 清單中被找到,再從它送出 PR。
2. 快取污染。 這次執行可以寫入 GitHub Actions 快取(pnpm 套件儲存區)。之後主程式庫的正式發布流程沿用了這份被污染的快取。
3. OIDC token 竊取。 在正式發布時,被污染的程式讀取執行環境的記憶體,取出可發布到 npm 的短效 OIDC token,直接發布惡意版本,繞過正常的發布步驟。TanStack 表示沒有 npm token 被盜,發布流程本身也沒有被改動。

因為套件確實出自 TanStack 的流程,它們帶有有效的 SLSA Build Level 3 來源證明與 Sigstore 簽章。StepSecurity 指出,來源證明只能證明「哪條流程產生了它」,不能證明流程照原本的意圖運作。

有問題的思路(概念示意,不是 TanStack 的原始設定):

# 以主程式庫權限執行,卻拿外部 PR 的程式碼來跑
on: pull_request_target
steps:
  - checkout: 外部 PR 的程式碼
  - run: 安裝相依套件並執行(可寫入共用快取)
# 正式發布流程之後讀取同一份快取,並擁有 npm 發布權限

修好的思路:

# 外部 PR 用沒有機密、唯讀的 pull_request 觸發
on: pull_request
permissions: read-all
# 正式發布流程:只在受保護分支執行、不使用快取、Actions 釘選 commit SHA,
# 只有這個工作能取得 npm 發布用的 OIDC token

惡意程式做了什麼: 惡意版本透過 optionalDependencies 與安裝階段腳本,在 npm install 時自動執行約 2.3 MB 的混淆程式 router_init.js。TanStack 確認它會竊取 AWS(執行個體中繼資料與 Secrets Manager)、GCP 中繼資料、Kubernetes 服務帳號 token、Vault token、~/.npmrc、GitHub token 與 SSH 金鑰,經 Session/Oxen 通訊網路外傳,並用受害者的權限重新發布他維護的其他套件。

以下是研究機構(StepSecurity、Wiz、Snyk、CSA)回報,TanStack 的事後檢討沒有描述:

• 在 Claude Code 的 .claude/settings.json 加入 SessionStart 掛鉤、在 VS Code 的 .vscode/tasks.json 加入開啟資料夾時執行的工作,讓惡意程式在工具開啟時再次執行;另安裝 gh-token-monitor 背景服務。
• 撤銷被盜 token 時刪除家目錄的「死手開關」。TanStack 的後續文章確認有這個機制,但觸發細節各家說法不同:Wiz 說背景程式每 60 秒向 GitHub 檢查 token 是否被撤銷;StepSecurity 描述的是建立 npm token 時附上「撤銷就會清除電腦」的警告說明。
• Wiz 另回報惡意程式在俄語系統上會停止執行;而 gh-token-monitor 這個背景程式啟動 24 小時後會自動結束(只是這個背景程式結束,不代表整個感染或已被偷走的憑證就沒事了)。
• 研究機構也回報以 claude@users.noreply.github.com 為作者的 GitHub commit,用來混入 AI 代理的提交紀錄。

時間軸

延伸閱讀

• 評分: CVSS 3.1 9.6 由 GitHub(CNA)評定,NVD 列為「次要」分數;未找到 NVD 自己的評分。「需要使用者互動」反映受害者必須自己安裝套件。
• CWE 差異: GitHub、CVE 紀錄與 NVD 都標為 CWE-506(內嵌惡意程式碼);CISA KEV 的 CWE 欄位為空,並稱之為「未指明的漏洞」。
• 勒索軟體標記: KEV 標示「已知用於勒索軟體活動」。Snyk 說 TeamPCP 與 Vect 勒索軟體集團有合作紀錄,CSA 說該集團有加密貨幣竊取與勒索軟體背景,SecurityWeek 則沒有提到勒索軟體。KEV 欄位本身不說明標記理由,所以 CISA 的依據未能確認;本頁不主張勒索軟體透過此事件部署。
• 更大的攻擊活動: 「Mini Shai-Hulud」的名稱與對 TeamPCP 的歸因來自 StepSecurity、Wiz、Snyk 與 CSA,TanStack 的事後檢討沒有命名。研究機構回報同一天還有約 65 個 UiPath npm 套件、Mistral AI(npm 與 PyPI mistralai@2.4.6)、guardrails-ai@0.10.1、OpenSearch JS 用戶端與 Squawk 套件受害,更早在 4 月底有 SAP 相關套件的一波。整波規模各家不同:CSA 為 169 個 npm 與 2 個 PyPI 套件、373 筆惡意項目;SecurityWeek 為五小時內至少 401 個成品、170 個以上套件;Snyk 約 170 個套件。CVE-2026-45321 只涵蓋 42 個 TanStack 套件;其他受害者是否都經由 TanStack 感染,未能確認。
• AI 開發工具的關聯: 後門藏在 Claude Code 與 VS Code 的設定資料夾,這些資料夾常被 git 忽略、很少被檢查;假冒的「claude」commit 作者用來混入 AI 代理的提交。
• CISA 同批列入的其他項目: CISA 在 2026-05-27 的公告中同時把三個項目列入 KEV:Daemon Tools Lite(CVE-2026-8398)、TanStack(本頁)與 Nx Console VS Code 擴充套件(CVE-2026-48027)。三者都是惡意程式被放進正式發布版本的事件。
• Shai-Hulud 的由來: 2025 年 9 月,第一波名為「Shai-Hulud」的 npm 蠕蟲竊取開發者的憑證,再用偷來的 npm 權限把惡意程式發布到受害者的其他套件,CISA 當時發布警示,指出超過 500 個套件受害。2026 年的「Mini Shai-Hulud」各波(4 月底的 SAP 套件、本頁的 TanStack)沿用同樣的自我擴散手法,研究機構歸因於 TeamPCP,是否與 2025 年的攻擊者相同未能確認。
• 相關弱點類型:CWE-506;GitHub Actions 的 pull_request_target 風險與快取污染。