telexed ~ c / 88b90fa3-19fradar:60 · otherLIVE
← 피드로
NO.
#88b90fa3
분야
기타
출처
GeekNews
게재
2026-05-12 00:52:26
중요도
★ 6/10 — radar 60
사후 분석: `TanStack` npm 공급망 침해
FIG-0881:1

사후 분석: `TanStack` npm 공급망 침해

Postmortem: `TanStack` npm Supply-Chain Breach

불과 6분짜리 CI 침해가 pull_request_target, 캐시 오염, OIDC 토큰 탈취를 거쳐 악성 npm 배포로 이어졌다. @tanstack/*를 쓰고 있다면 GitHub Actions 권한 축소와 의존성 사고 대응을 운영 기본값으로 올릴 시점이다.

[ 요점 ]
  1. 영향 범위는 42개 @tanstack/ 패키지, 악성 버전은 84개였다. 짧게 열려도 프런트엔드 배포 파이프라인은 바로 오염된다.
  2. 공격 체인은 pull_request_targetPwn Request, GitHub Actions 캐시 오염, 러너 메모리의 OIDC 토큰 추출이 이어졌다. 워크플로 한 군데가 배포 권한까지 뚫린 셈.
  3. npm publish 권한이 털리면 신뢰하던 UI·데이터 패키지가 바로 공격 표면이 된다. lockfile만 믿는 운영은 방어선이 너무 낮다.
  4. 지금 필요한 대응은 화려한 보안 도구가 아니다. Actions 권한 최소화, 캐시 격리, 패키지 사고 시 롤백 절차 정리가 먼저다.
원문news.hada.io/topic?id=29413원문 보기 →

// related