В Python пакета elementary-data, който има 1.1 милиона сваляния на месец, е внедрен злонамерен код

Компания Elementary Data обяви за компрометиране на работните процеси на GitHub Actions, в резултат на което атакуващите успяха да публикуват в каталога PyPI и в репозитория на GitHub версия на пакета elementary-data 0.23.3, в която беше внедрен злонамерен код за кражба на конфиденциална информация от системите на потребителите. Злонамерената версия беше включена и в официалния Docker образ на проекта. През миналия месец пакетът elementary-data е бил изтеглен от репозитория PyPI повече от 1.1 милиона пъти.

Злонамерената версия беше публикувана на 25 април в 1:20 (MSK) и остана достъпна за изтегляне повече от 11 часа (до 12:45). Атаката беше извършена чрез изпращане на pull request с умишлено оформен коментар, експлоатиращ уязвимост в автоматично извиквания обработчик на GitHub Action. На атакуващите им беше успешно да стартират shell команди в средата на непрекъснатата интеграция и да извлекат съдържанието на променливата на средата GITHUB_TOKEN с токена за достъп до репозитория. Този токен беше използван за създаване на няколко клона в git и подготовка на версия.

В състава на публикуваната от атакуващите версия беше включен злонамерен код, кодирани в base64 формат и активиран при инсталирането на пакета. Злонамереният код извършваше сканиране на системата и изпращане на конфиденциални данни, като SSH и SSL/TLS ключове, съдържанието на променливите на средата, данни за вход за AWS, GCP, Azure и K8s, ключове от крипто портфейли, пароли за СУБД, история на операциите в командния интерпретатор, конфигурационни файлове от Git, CI/CD, пакетни мениджъри и Docker.

Източник: opennet.ru