Azure DevOps Blog
·
Axios npm供应链安全事件 - 针对Azure Pipelines客户的指导
💡
原文英文，约1000词，阅读约需4分钟。
📝
内容提要
2026年3月31日，恶意版本的JavaScript库Axios被发布到npm注册表，作为供应链攻击的一部分。受影响的版本包含隐藏的恶意依赖，可能导致开发环境暴露。虽然Azure Pipelines未受影响，但使用自托管代理或第三方扩展的用户需审查管道运行，清理依赖缓存，并更换相关凭证。建议使用锁定版本和确定性安装以降低未来风险。
🎯
关键要点
-
2026年3月31日，恶意版本的JavaScript库Axios被发布到npm注册表，作为供应链攻击的一部分。
-
受影响的版本包括1.14.1和0.30.4，包含隐藏的恶意依赖，可能导致开发环境暴露。
-
Azure Pipelines未受影响，但使用自托管代理或第三方扩展的用户需审查管道运行。
-
建议清理依赖缓存，替换相关凭证，并使用锁定版本和确定性安装以降低未来风险。
-
自托管代理在攻击期间可能安装了恶意依赖，需重新构建受影响的代理并审查活动日志。
-
建议审查第三方扩展和自定义任务，确保它们不依赖于受影响的Axios版本。
-
清理与受影响的存储库或代理相关的依赖缓存，以防止未来构建中重用受损包。
-
在修复后，重建受影响的构建输出，确保它们的安全性。
❓
延伸问答
Axios npm供应链安全事件的主要影响是什么？
恶意版本的Axios库可能导致开发环境暴露，尤其是使用自托管代理或第三方扩展的用户。
Azure Pipelines用户需要采取哪些措施来应对此次安全事件？
用户应审查管道运行，清理依赖缓存，替换相关凭证，并使用锁定版本和确定性安装。
哪些版本的Axios库受到此次供应链攻击的影响？
受影响的版本包括1.14.1和0.30.4。
自托管代理在此次攻击中可能面临哪些风险？
自托管代理可能安装了恶意依赖，导致凭证暴露和受损包的持久化。
如何降低未来的供应链风险？
建议使用锁定版本、确定性安装，并限制管道中的秘密范围。
如果我的管道使用了受影响的Axios版本，我该如何检查？
检查管道日志中是否有npm install或npm ci执行记录，确认是否解析了受影响的版本。
➡️
