Bitwarden CLI 컴프로마이즈 분석: 공급망 공격 대응 가이드

요약

Socket 연구팀은 Bitwarden CLI의 npm 패키지(@bitwarden/cli2026.4.0)가 진행 중인 Checkmarx 공급망 공격 캠페인의 일환으로 손상되었음을 발견했습니다. 이 공격은 Bitwarden CI/CD 파이프라인 내 GitHub Action을 악용했으며, 악성 페이로드(bw1.js)는 민감한 정보 유출 및 시스템 거버넌스 변경을 시도합니다. 사용자는 즉시 해당 패키지를 제거하고, 노출되었을 수 있는 모든 비밀번호(GitHub 토큰, npm 토큰 등)를 교체해야 합니다. 또한, CI/CD 환경과 엔드포인

핵심 포인트

• 공격 대상은 Bitwarden CLI의 특정 버전(@bitwarden/cli2026.4.0)이며, 악성 코드는 패키지 내 파일 bw1.js를 통해 삽입되었습니다.
• 이 공격은 Bitwarden CI/CD 파이프라인의 GitHub Action을 악용하여 발생했으며, Checkmarx 공급망 캠페인의 일환으로 진행되고 있습니다.
• 사용자는 즉시 해당 npm 패키지를 제거하고, GitHub 토큰, npm 토큰, 클라우드 자격 증명 등 모든 비밀 정보를 교체해야 합니다.
• 엔드포인트에서는 아웃바운드 연결(audit.checkmarx.cx)과 셸 프로파일 수정(~/.bashrc, ~/.zshrc), 그리고 임시 파일 생성(/tmp/tmp.987654321.lock) 등을 점검해야 합니다.
• 장기적인 방어책으로 토큰 범위 제한(scope locking), 단명 자격 증명 사용 의무화, GitHub Actions 권한 강화 등이 필요합니다.