В Python пакета elementary-data, който има 1.1 млн. изтегляния на месец, е внедрен злонамерен код.

Компания Elementary Data съобщи за компрометиране на работните процеси на GitHub Actions, в резултат на което атакуващите успели да публикуват в каталога на PyPI и в GitHub репозиторият пакет elementary-data 0.23.3, в който е внедрен злонамерен код за кражба на конфиденциална информация от системите на потребителите. Злонамереният релиз също е бил включен в официалния Docker образ на проекта. Миналия месец пакетът elementary-data е бил изтеглен от репозитория PyPI над 1.1 млн. пъти.

Злонамереният релиз е бил публикуван на 25 април в 1:20 (MSK) и е останал достъпен за изтегляне повече от 11 часа (до 12:45). Атаката е била извършена чрез изпращане на pull заявка със специално оформен коментар, експлоатиращ уязвимост в автоматично задействания обработчик на GitHub Action. На атакуващите им е успяло да стартират shell команди в средата на непрекъсната интеграция и да извлекат от нея съдържанието на променливата на средата GITHUB_TOKEN с токена за достъп до репозитория. Този токен е бил използван за създаване на няколко клона в git и подготовка на релиза.

В състава на публикувания от атакуващите релиз е включен злонамерен код, кодиран във формат base64 и активиран при инсталацията на пакета. Злонамереният код извършвал сканиране на системата и изпращал конфиденциални данни, като SSH и SSL/TLS ключове, съдържание на променливи на средата, удостоверителни данни за AWS, GCP, Azure и K8s, ключове от крипто портфейли, пароли за СУБД, история на операциите в командния интерпретатор, конфигурационни файлове от Git, CI/CD, пакетни мениджъри и Docker.

Източник: opennet.ru