注目★★★★★GitHub Advisory
PyPI の pantheon-agents 0.6.1/0.6.2 に認証情報盗聴マルウェア、即削除推奨
30秒で把握
- 1pantheon-agents 0.6.1・0.6.2 (PyPI) にマルウェア・PyPI アカウント侵害が原因・認証情報盗聴が確認
- 2環境変数・~/.pypirc・~/.npmrc・AWS 認証・SSH キー全般が流出対象・実行マシンの全認証が危険
- 30.6.1・0.6.2 インストール済みなら即削除・全認証情報をローテーション・ログ調査実施
要約
PyPI アカウント侵害により、pantheon-agents 0.6.1 と 0.6.2 にマルウェアを仕込まれた。実行時に `*-setup.pth` で Bun ランタイムをダウンロードし、環境変数・PyPI 認証ファイル・AWS 認証・SSH キー・API トークンなどの認証情報を盗聴・流出させる。GitHub リポジトリとバージョン 0.6.0 以前は対象外。
あなたへの影響
pantheon-agents を pip でインストールしているプロジェクトは 0.6.1・0.6.2 である場合、直ちにアンインストール + pip uninstall pantheon-agents を実行し、その後 AWS・PyPI・GitHub・SSH などすべての認証情報をローテーション + アクセスログ監査が必須。
推奨：環境変数に API キーを保持していたり ~/.aws に認証があるマシンでの実行があれば、当該認証を第三者が入手した可能性が高い。