Schadpaket in den Abhängigkeiten
Prüfregel · RSC-SEC-150
- Sicherheit
- Schweregrad: Kritisch
- CWE-506
- OWASP A08-2021
Gleicht die Paketversionen des Repos gegen die OpenSSF-Datenbank bekannter Schadpakete (über OSV, `MAL-`-Einträge und als Malware gekennzeichnete Advisories) ab und erkennt Pakete, die npm durch einen Sicherheits-Platzhalter ersetzt hat.
Warum das zählt
Ein Schadpaket ist keine Lücke, die auf einen Angreifer wartet — es ist der Angriff. Die Shai-Hulud-Welle im Herbst 2025 hat das vorgeführt: Kompromittierte Releases bekannter npm-Pakete brachten ein Install-Skript mit, das beim `npm install` lief, npm- und GitHub-Tokens einsammelte und sich mit ihnen in weitere Pakete kopierte. Wer eine solche Version installiert hat, muss davon ausgehen, dass die Zugangsdaten des Rechners und der CI abgeflossen sind.
Eine gewöhnliche Schwachstellen-Prüfung ordnet solche Einträge oft falsch ein: Malware-Einträge tragen meist keine CVSS-Bewertung und landen deshalb als „mittel“ zwischen veralteten Bibliotheken. Wir trennen sie ab und melden sie als das, was sie sind.
So prüft ihr es selbst: Die genannte `MAL-`-Kennung führt auf osv.dev zur Beschreibung samt betroffenen Versionen; `npm ls <paket>` zeigt, ob und über welchen Pfad das Paket installiert ist. Nach dem Entfernen zählt die Rotation der Tokens mehr als das Update — die Install-Skripte können gelaufen sein.
Prüfstufe
- Repo-Zugang (Deep-Scan)
So behebt ihr es
Paket entfernen, Lock-Datei neu erzeugen, node_modules und CI-Caches leeren und danach alle npm-, GitHub-, CI- und Cloud-Tokens rotieren, die dort verfügbar waren.