Polyfill.js e Malware em Código Aberto: O que Você Precisa Saber

Yuri Corredor

No mundo do desenvolvimento, bibliotecas de código aberto desempenham um papel crucial na criação de aplicativos. No entanto, essas bibliotecas também podem representar riscos significativos se não forem gerenciadas corretamente. Um exemplo recente é o caso da biblioteca polyfill.js, que sofreu um ataque de cadeia de suprimentos, afetando milhares de sites ao redor do mundo.

Conteúdo

O que aconteceu com a biblioteca polyfill.js?

Polyfill.js é uma biblioteca popular que permite que navegadores mais antigos suportem funcionalidades modernas. Em fevereiro de 2024, uma empresa comprou o domínio cdn[.]polyfill[.]io e a conta do GitHub associada. Desde então, a empresa modificou a biblioteca para inserir código malicioso nos sites que utilizavam scripts do CDN. Como resultado, usuários foram redirecionados para sites de aposta, e ficaram expostos a possíveis execuções de código malicioso.

Impacto e medidas de mitigação

O ataque foi descoberto e divulgado pela equipe de segurança da Sansec em 25 de junho de 2024. Estima-se que mais de 100.000 sites foram impactados, incluindo grandes empresas como a Intuit.

O criador original do polyfill.js e várias plataformas de segurança, como a Google, emitiram alertas para remover qualquer referência ao CDN. Alternativas seguras são recomendadas e foram disponibilizadas pelo Cloudflare e Fastly.

Recomendações para desenvolvedores sobre o polyfill.js

Diante do ocorrido, é fundamental que os(as) desenvolvedores(as) tomem medidas para manter a segurança dos seus sistemas. Confira abaixo as principais recomendações:

  • Remova o Polyfill.js: Se o seu site utiliza polyfill.js do cdn[.]polyfill[.]io, remova imediatamente qualquer referência a ele. A biblioteca não é mais necessária para a maioria dos navegadores modernos.
  • Use CDNs Confiáveis: Opte por CDNs conhecidos e respeitáveis como Cloudflare e Fastly.
  • Implemente SRI: Utilize a Subresource Integrity (SRI) para garantir que scripts carregados não foram adulterados.
  • Adote CSP: Aplique uma política de segurança de conteúdo (Content Security Policy) para restringir as fontes de scripts que podem ser carregados em seu site.
  • Monitore Dependências: Realize auditorias regulares em todas as dependências de terceiros e mantenha-as atualizadas.

Experiência e ação da Focus NFe sobre a biblioteca polyfill.js

Seguindo nossas políticas de transparência com os nossos clientes, informamos que o nosso painel do cliente incluía o polyfill.js e, portanto, estava vulnerável a este ataque. Felizmente, nenhum dos nossos clientes foi comprometido. Tomamos todas as medidas necessárias para remover a biblioteca comprometida.

O incidente com o polyfill.js serve como um lembrete importante sobre a necessidade de vigilância constante na segurança de bibliotecas de código aberto e na escolha cuidadosa de CDNs. Manter-se informado sobre vulnerabilidades e seguir as melhores práticas de segurança é essencial para proteger seus projetos e os dados dos usuários.

Simplifique sua gestão de documentos fiscais com a Focus NFe

Somos um ecossistema de soluções para a emissão e gestão de documentos fiscais. Nossos recursos permitem que empresas dos mais diversos portes e segmentos ganhem mais tempo para focar no que importa.

Sua empresa possui desenvolvedores, sistema interno e quer otimizar a emissão de notas? Conheça nosso conjunto de APIs para emissão de documentos fiscais!

Converse já com a nossa equipe!

Inscreva-se em nossa newsletter​

Receba nossos conteúdos exclusivos em primeira mão.

Explore outros conteúdos:

o que é o JSON, para que serve, como é a estrutura e onde é mais usado. Entenda também as diferenças entre JSON, JS, HTML e XML.
Tecnologia e API
Egon Hilgenstieler

O que é e pra que serve JSON?

JSON é um formato de dados simples e leve, amplamente utilizado para a troca de informações entre sistemas por ser fácil de ler, escrever e interpretar.

Sua estrutura simples, baseada em texto, é compatível com diversas linguagens de programação, tornando-o uma escolha popular no desenvolvimento de aplicações modernas.

Acompanhe este artigo e entenda como funciona a estrutura do JSON e onde ele é mais utilizado. Descubra como esse formato pode facilitar a integração entre sistemas e o desenvolvimento de projetos de forma prática.

Leia mais »
Reforma Tributária 2023: saiba o que é e quais são as mudanças
Contabilidade
Ricardo Acras

Reforma tributária: o que muda em relação aos impostos?

Sem dúvida, a reforma tributária é uma das pautas mais relevantes dos últimos tempos para quem possui uma empresa. Entre outros motivos, o projeto, aprovado pela Câmara dos Deputados em julho de 2023, promete substituir impostos, reduzir alíquotas de outros já existentes, além de implementar estratégias para estimular o crescimento econômico nacional.

Com a reforma tributária, estão previstas mudanças para consumidores e empresas, como a isenção tributária a empresas de pequeno porte e em produtos da cesta básica.

A seguir, trazemos todos os detalhes referentes à reforma tributária, quais pontos foram aprovados até o momento, próximos passos e impacto à economia brasileira.

Leia mais »
O que é sintegra
Contabilidade
Ludmila Ferreira

O que é o Sintegra?

Você sabe o que é Sintegra? O Sistema Integrado de Informações sobre Operações Interestaduais com Mercadorias e Serviços é uma plataforma essencial para todos os contribuintes que emitem nota fiscal de produtos ou serviços e querem manter-se em dia junto ao Fisco.

Esse site é uma forma de controlar melhor a arrecadação de impostos. Garantindo a redução de irregularidades e a coleta adequada sobre as transações comerciais, em especial do ICMS.

Leia mais »