CVE-2025-54313
Prettier eslint-config-prettier Embedded Malicious Code Vulnerability
Beschreibung
CVE-2025-54313 ist eine Supply-Chain-Compromise-Schwachstelle im weit verbreiteten npm-Paket eslint-config-prettier. Die Versionen 8.10.1, 9.1.1, 10.1.6 und 10.1.7 enthalten eingebetteten Schadcode, der bei der Installation eine install.js-Datei ausfuehrt und auf Windows-Systemen die Malware node-gyp.dll startet. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 7,77 % (91,8. Perzentil) stellt diese Schwachstelle eine ernsthafte Bedrohung fuer das gesamte JavaScript-Oekosystem dar. Die CISA hat CVE-2025-54313 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 12. Februar 2026. Neben eslint-config-prettier sind auch eslint-plugin-prettier, synckit, @pkgr/core, got-fetch, napi-postinstall und homarr von der Kompromittierung betroffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| prettier | eslint-config-prettier | 8.10.1; 9.1.1; 10.1.6; 10.1.7 |
| prettier | eslint-plugin-prettier | 4.2.2; 4.2.3 |
| un-ts | synckit | 0.11.9 |
| un-ts | pkgr\/core | 0.2.8 |
| alexghr | got-fetch | 5.1.1; 5.1.2 |
| un-ts | napi-postinstall | 0.3.1 |
| homarr | homarr | >= 1.29.0, < 1.30.0 |
Referenzen
- https://github.com/prettier/eslint-config-prettier/issues/339(Issue Tracking)
- https://news.ycombinator.com/item?id=44608811(Issue Tracking)
- https://news.ycombinator.com/item?id=44609732(Issue Tracking)
- https://socket.dev/blog/npm-phishing-campaign-leads-to-prettier-tooling-packages-compromise(Third Party Advisory)
- https://www.bleepingcomputer.com/news/security/popular-npm-linter-packages-hijacked-via-phishing-to-drop-malware/(Exploit, Third Party Advisory)
- https://www.npmjs.com/package/eslint-config-prettier?activeTab=versions(Product)
- https://www.stepsecurity.io/blog/supply-chain-security-alert-eslint-config-prettier-package-shows-signs-of-compromise(Exploit, Third Party Advisory)
- https://github.com/community-scripts/ProxmoxVE/discussions/6115(Third Party Advisory)
- https://www.endorlabs.com/learn/cve-2025-54313-eslint-config-prettier-compromise----high-severity-but-windows-only(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-54313(US Government Resource)
Schwachstellentyp
CWE-506: Embedded Malicious Code
CWE-506 (Embedded Malicious Code) beschreibt eine Schwachstellenklasse, bei der Software absichtlich eingebetteten Schadcode enthaelt, der bei der Ausfuehrung boesartige Aktionen durchfuehrt. Im Fall von CVE-2025-54313 wurde das legitime npm-Paket eslint-config-prettier durch eine Phishing-Kampagne gegen die Maintainer kompromittiert. Die manipulierten Versionen enthalten ein install.js-Skript, das automatisch beim Installieren des Pakets ausgefuehrt wird und auf Windows-Systemen die Schadsoftware node-gyp.dll laedt und ausfuehrt.
Auswirkungsanalyse
Supply-Chain-Angriff auf das gesamte JavaScript-Oekosystem: Die schwerwiegendste Auswirkung ist die Verbreitung von Malware ueber ein weit verbreitetes Entwicklungstool. eslint-config-prettier wird von Hunderttausenden von Projekten als Entwicklungsabhaengigkeit verwendet. Vertraulichkeit (C:L) ist moderat betroffen: Die Malware kann lokale Daten, Zugangsdaten und Umgebungsvariablen exfiltrieren. Integritaet (I:H) ist maximal betroffen: Die Malware modifiziert das System durch die Installation der node-gyp.dll und kann weitere Schaedlinge nachladen. Der Scope ist Changed (S:C), was bedeutet, dass die Auswirkungen ueber die npm-Installation hinausgehen und das gesamte Betriebssystem betreffen koennen.
Breite der Kompromittierung: Neben eslint-config-prettier sind auch die Pakete eslint-plugin-prettier (4.2.2, 4.2.3), @anthropic-ai/sdk (ueber synckit 0.11.9), @pkgr/core (0.2.8), got-fetch (5.1.1, 5.1.2), napi-postinstall (0.3.1) und homarr (1.29.0 bis 1.30.0) betroffen. Diese Breite zeigt, dass die Angreifer ueber kompromittierte Maintainer-Konten Zugriff auf mehrere Pakete erlangten.
EPSS und Ransomware: Der EPSS-Score von 7,77 % (91,8. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist Unknown. Supply-Chain-Angriffe werden jedoch zunehmend als Einstiegspunkt fuer Ransomware-Kampagnen genutzt.
Exploit-Reifegrad
CVE-2025-54313 weist eine sehr hohe Exploit-Reife auf, da es sich nicht um eine herkoemmliche Schwachstelle, sondern um aktiv verteilten Schadcode handelt. Die kompromittierten Paketversionen wurden ueber npm verteilt und automatisch bei der Installation ausgefuehrt. Detaillierte Analysen sind verfuegbar von Socket.dev, StepSecurity und BleepingComputer.
Angriffsvektor: Die Angreifer fuehrten eine gezielte Phishing-Kampagne gegen die Maintainer der betroffenen npm-Pakete durch und erlangten Zugriff auf deren npm-Konten. Anschliessend veroeffentlichten sie manipulierte Versionen mit eingebettetem Schadcode. Die Malware wird automatisch ueber npm-Installationsskripte (postinstall) ausgefuehrt.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Die installierte Malware (node-gyp.dll) koennte als Loader fuer weitere Payloads dienen, einschliesslich Ransomware. Die Untersuchung der Malware-Funktionalitaet ist noch nicht abgeschlossen.
Behebung
- Betroffene Paketversionen sofort identifizieren und entfernen: Pruefen Sie Ihre package-lock.json oder yarn.lock auf die kompromittierten Versionen: eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, 10.1.7; eslint-plugin-prettier 4.2.2, 4.2.3; synckit 0.11.9; @pkgr/core 0.2.8; got-fetch 5.1.1, 5.1.2; napi-postinstall 0.3.1. Fuehren Sie
npm ls eslint-config-prettieraus, um die installierte Version zu ermitteln. - Auf sichere Versionen aktualisieren: Aktualisieren Sie auf die aktuellen, nicht kompromittierten Versionen der betroffenen Pakete. Pruefen Sie die npm-Versionshistorie und installieren Sie eine Version, die nicht in der Liste der kompromittierten Versionen enthaelt. Fuehren Sie anschliessend
npm cistattnpm installaus. - Windows-Systeme auf Malware pruefen: Falls die kompromittierten Versionen auf Windows-Systemen installiert wurden, pruefen Sie diese auf die Existenz der Datei node-gyp.dll und fuehren Sie einen vollstaendigen Malware-Scan durch. Isolieren Sie betroffene Systeme bis zur Bereinigung.
- CI/CD-Pipelines pruefen: Ueberpruefen Sie alle CI/CD-Pipelines und Build-Server, die npm install fuer betroffene Projekte ausgefuehrt haben. Rotieren Sie alle Zugangsdaten, Tokens und Secrets, die auf diesen Systemen verfuegbar waren.
- Lockfile-Integritaet sicherstellen: Aktivieren Sie npm-Audit in Ihren CI/CD-Pipelines (
npm audit --audit-level=critical) und verwenden Sie Tools wie Socket.dev oder Snyk zur Erkennung kompromittierter Pakete. Implementieren Sie Lockfile-basierte Installationen (npm ci) anstelle vonnpm install.
Technische Details
Bei CVE-2025-54313 handelt es sich um einen Supply-Chain-Angriff ueber kompromittierte npm-Pakete. Die Angreifer erlangten durch eine gezielte Phishing-Kampagne Zugriff auf die npm-Konten der Maintainer und veroeffentlichten manipulierte Versionen mit eingebettetem Schadcode. Die Malware wird ueber ein install.js-Skript ausgefuehrt, das als npm-postinstall-Hook konfiguriert ist und automatisch beim Installieren des Pakets laeuft.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N), da die kompromittierten Pakete ueber die npm-Registry verteilt werden. Die Komplexitaet ist hoch (AC:H), da der Angreifer zunaechst die Paket-Maintainer kompromittieren musste. Es sind keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich, da npm install automatisch ausgefuehrt wird. Der Scope ist Changed (S:C), da die Auswirkungen ueber npm hinausgehen. Die Integritaet ist maximal betroffen (I:H) durch die Malware-Installation, die Vertraulichkeit moderat (C:L) durch potenzielle Datenexfiltration.
Angriffsmechanismus: Die kompromittierten Versionen enthalten ein install.js-Skript, das beim Ausfuehren von npm install automatisch ausgefuehrt wird. Auf Windows-Systemen laedt dieses Skript die Malware node-gyp.dll und fuehrt sie aus. Der Name "node-gyp" wurde bewusst gewaehlt, um als legitimes Build-Tool zu erscheinen. Die genaue Funktionalitaet der Malware umfasst vermutlich die Exfiltration von Umgebungsvariablen und Zugangsdaten sowie die Moeglichkeit, weitere Payloads nachzuladen.
Betroffene Pakete und Versionen: eslint-config-prettier (8.10.1, 9.1.1, 10.1.6, 10.1.7), eslint-plugin-prettier (4.2.2, 4.2.3), synckit (0.11.9), @pkgr/core (0.2.8), got-fetch (5.1.1, 5.1.2), napi-postinstall (0.3.1), homarr (1.29.0 bis vor 1.30.0).
Häufig gestellte Fragen
Wie kann ich pruefen, ob mein Projekt betroffen ist?
Fuehren Sie npm ls eslint-config-prettier eslint-plugin-prettier synckit @pkgr/core got-fetch napi-postinstall aus, um die installierten Versionen zu pruefen. Vergleichen Sie diese mit den kompromittierten Versionen. Alternativ koennen Sie npm audit ausfuehren, das die bekannten kompromittierten Versionen erkennt.
Sind macOS- und Linux-Systeme auch betroffen?
Die Malware (node-gyp.dll) zielt primaer auf Windows-Systeme ab. Das schadhafte install.js-Skript wird jedoch auf allen Betriebssystemen ausgefuehrt. Es ist moeglich, dass die Malware auf nicht-Windows-Systemen andere Aktionen durchfuehrt oder Daten exfiltriert, ohne eine DLL-Datei zu installieren. Eine Ueberpruefung aller Systeme wird empfohlen.
Wie konnte es zu dieser Kompromittierung kommen?
Die Angreifer fuehrten eine gezielte Phishing-Kampagne gegen die Maintainer der betroffenen npm-Pakete durch. Nach der Uebernahme der npm-Konten veroeffentlichten sie manipulierte Versionen. Dies unterstreicht die Bedeutung von Zwei-Faktor-Authentifizierung fuer npm-Konten und die Verwendung von Lockfiles zur Verhinderung automatischer Updates auf kompromittierte Versionen.
Was sollte ich tun, wenn die Malware bereits auf meinem System installiert wurde?
Isolieren Sie das betroffene System sofort vom Netzwerk. Fuehren Sie einen vollstaendigen Malware-Scan durch. Rotieren Sie alle Zugangsdaten, API-Schluessel, Tokens und SSH-Keys, die auf dem System gespeichert oder in Umgebungsvariablen verfuegbar waren. Pruefen Sie, ob die Malware Netzwerkverbindungen zu externen Servern aufgebaut hat. Im Zweifelsfall sollte das System neu installiert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.