NPM上の @esbuild-kit/* パッケージがハッキングされた模様
NPM上の @esbuild-kit/core-utils および @esbuild-kit/esm-loader パッケージの非推奨警告に表示される tsx.is というURLが、悪意のあるサイトにリダイレクトされていることが報告されました。元々は正規のツール「tsx」のサイトですが、現在は訪問ごとに報酬を得る攻撃者に乗っ取られている可能性があります。パッケージ自体が改ざんされたのか、ドメインがハイジャックされたのかは不明です。
背景メモ
- tsx（TypeScript Execute）はNode.js上でTypeScriptを直接実行できるツール。esbuild-kit/core-utils と esbuild-kit/esm-loader はtsxに統合される前の旧パッケージで、現在は非推奨（deprecated）となっている。
- npmでパッケージをインストールすると、非推奨パッケージの代替先としてリンク先（tsx.is）が表示される仕様だが、このtsx.isドメインが何者かに乗っ取られ、アクセスすると広告収入目的の悪意あるサイトにリダイレクトされる状態になっている。
- 問題はNPMパッケージ本体の改ざんではなく、パッケージメタデータに記載されたURLの乗っ取り。ただし、利用者が何も考えずにURLをクリックすると危険なサイトに誘導される。
- 報告者は、この乗っ取りがtsx.isドメイン自体のハッキングなのか、あるいはNPM上のパッケージ情報の改ざんなのかを疑問視している。現時点では公式の発表はなく、npm installを実行しただけでは感染しないが、リンク先を信用しないよう注意が必要。