axios@1.14.1, axios@0.30.4 버전이 해킹

https://news.hada.io/topic?id=28046

axios@1.14.1, axios@0.30.4 버전이 해킹당했습니다. | GeekNews

---

 

2026년 3월 말, Axios의 npm 메인테이너 계정이 해킹되어 악성 코드가 포함된 1.14.1 버전(및 레거시 0.30.4 버전)이 배포되었습니다.

• 공격 방식: 정상적인 Axios 코드에 plain-crypto-js라는 악성 의존성 패키지를 추가하여 배포했습니다.
• 영향: 패키지 설치 시 postinstall 스크립트가 실행되어 **원격 제어 트로이목마(RAT)**를 설치합니다.
• 대상 OS: Windows, macOS, Linux 등 플랫폼별 맞춤형 페이로드가 실행됩니다.
• 주요 피해: 시스템 내 환경 변수(AWS/Azure 키, API 토큰 등) 탈취 및 공격자의 C2 서버를 통한 지속적인 원격 제어 권한 획득.

---

✅ 대응 및 해결 방법

해당 사고는 발견 직후 npm 저장소에서 악성 버전이 삭제되었으나, 이미 설치했거나 미러 사이트를 통해 설치될 가능성이 있습니다.

1. 버전 확인 및 다운그레이드

프로젝트의 package-lock.json 또는 yarn.lock 파일을 확인하여 아래 버전이 포함되어 있다면 즉시 삭제하고 안전한 버전으로 고정해야 합니다.

• 위험 버전: 1.14.1, 0.30.4
• 안전 버전: 1.14.0 또는 0.30.3 (그 이전 버전 포함)

Bash

 

# 악성 버전 삭제 후 안전한 버전 설치
npm uninstall axios
npm install axios@1.14.0

2. 악성 패키지 존재 여부 검사

종속성 목록에 **plain-crypto-js**라는 패키지가 있는지 확인하십시오. 이 패키지는 이번 공격을 위해 생성된 악성 도구입니다.

3. 보안 조치 (이미 설치했을 경우)

만약 1.14.1 버전을 설치하고 빌드나 배포 프로세스를 진행했다면, 해당 시스템은 완전히 오염된 것으로 간주해야 합니다.

• 자격 증명 교체: 해당 시스템에서 접근 가능했던 모든 API 키, DB 비밀번호, SSH 키, 클라우드 접속 권한(IAM 등)을 즉시 폐기하고 재발급하십시오.
• 캐시 삭제: 로컬 및 CI/CD 서버의 npm cache를 비워 악성 파일이 남아있지 않게 하십시오.
• 시스템 포맷: 가급적 해당 환경(컨테이너, VM 등)을 삭제하고 새로 구축하는 것이 권장됩니다.

---

💡 팁: 재발 방지 설정

향후 유사한 사고를 방지하기 위해 package.json에서 버전을 지정할 때 캐럿(^)을 제거하여 **버전을 고정(Pinning)**하거나, npm audit을 정기적으로 실행하여 공급망 위험을 관리하는 것이 좋습니다.

현재 Axios 공식 메인테이너들은 해당 이슈를 정리하고 보안이 강화된 새로운 패치를 준비 중이니, 공식 GitHub 저장소의 공지사항을 지속적으로 확인하시기 바랍니다.