GitHub OAuth 漏洞影响近 100000 名用户 媒体
GitHub OAuth Token 被盗，近 10 万 NPM 用户受影响
关键要点
大约 100000 名 GitHub 用户的 NPM 凭证和电子邮件地址被泄露。攻击者利用被盗的 OAuth 令牌访问 NPM 私有包的名称和版本信息。GitHub 确认攻击者并未改变已发布的包，也没有上传新版本。近期，The Hacker News 报导称，近 100000 名 GitHub 用户的 NPM 用户名、密码以及电子邮件地址因上个月 GitHub 的 OAuth 令牌被盗而受到影响。根据 GitHub 的说明，攻击者还利用这些被盗的 OAuth 令牌获取了包含截至 4 月 10 日的所有 NPM 私有包名称和版本号的 CSV 文件，以及来自两个组织的一些私有包数据。
这些入侵行为是通过 OAuth 令牌的利用实现的，攻击者获取了私有 NPM 存储库的数据。随后，他们使用被盗的 AWS 访问密钥 infiltrate 了注册中心的基础设施。不过，GitHub 指出，攻击者并没有修改任何已发布的包，亦没有新增现有包的版本。GitHub 表示，这次“高度针对性”的攻击只是为了列出组织和识别账户，以便选择性地对私有存储库进行列出和下载。
一元机场续费这种攻击方式提醒用户务必保持警惕并定期更新他们的凭证。同时，建议企业加强对 OAuth 令牌的保护措施，以降低潜在风险。
对于 GitHub 用户而言，确保帐号安全需采取以下措施：
安全措施描述定期更换密码确保使用强密码并定期更新。启用双重身份验证增加额外的保护层，防止未经授权的访问。审查 OAuth 权限定期检查和撤销不必要的 OAuth 应用程序权限。总之，用户应对安全保持高度警惕，确保自己的账户不被恶意攻击者获取。