Son zamanlarda gerçekleşen bir tedarik zinciri saldırısı, Polyfill.io hizmetini kullanan 110.000'den fazla web sitesini tehlikeye attı.

Saldırı, bir Çin şirketi olan Funnull'un Polyfill.io domainini satın alıp JavaScript kütüphanesini ("polyfill.js") kullanıcıları kötü amaçlı ve dolandırıcı sitelere yönlendirecek şekilde değiştirmesiyle gerçekleşti. Modifiye edilen kütüphane, kullanıcıları spor bahisleri ve pornografik sitelere yönlendiren ve tespit edilmemek için tersine mühendislik ve gecikmeli yürütmeye karşı özel korumalar içeren zararlı yazılımlar enjekte ediyor.

Polyfill'in orijinal yaratıcısı Andrew Betts, web sitesi sahiplerine bu kütüphaneyi kaldırmaları çağrısında bulunarak, çoğu modern web tarayıcısının artık sağladığı özellikleri benimsemiş olduğunu ve bu nedenle gereksiz hale geldiğini belirtti. Web altyapı sağlayıcıları Cloudflare ve Fastly, kullanıcıların Polyfill.io'dan uzaklaşmalarına yardımcı olmak için alternatif uç noktalar sundu.

Bu saldırı, üçüncü parti hizmetlere bağımlılığın risklerini gözler önüne seriyor; çünkü kodun herhangi bir şekilde tehlikeye atılması veya değiştirilmesi, aracı kullanan tüm web sitelerini etkileyebilir. Olay, Adobe Commerce ve Magento web sitelerini etkileyen kritik bir güvenlik açığına (CVE-2024-34102) da dikkat çekti. Mevcut yamalar olmasına rağmen büyük ölçüde yamalanmamış durumda. Bu güvenlik açığı, Linux'taki son iconv hatası ile birleştiğinde, uzaktan kod yürütmeye yol açarak ciddi bir sorun oluşturuyor. E-ticaret güvenlik firması Sansec, bu istismar zincirine "CosmicSting" kod adını verdi ve bu tür saldırıların potansiyel sonuçlarına karşı uyarıda bulundu.