월간 다운로드 100만 건의 오픈소스 패키지, 사용자 인증정보 탈취

Python 패키지 elementary-data 0.23.3이 악성으로 판정되며 실행 환경의 비밀정보를 탈취할 수 있는 것으로 지적됐다.

사용자들은 0.23.3을 제거하고 0.23.4로 업그레이드한 뒤, 캐시를 삭제하고 악성 표시 파일을 확인하며 노출된 자격증명을 교체하라는 안내를 받았다.

이 패키지는 월간 다운로드가 약 100만 건에 달해, 개발자·클라우드·CI/CD 비밀정보가 하위 환경으로 유출될 수 있다는 점에서 파급력이 크다.