Firmaen Elementary Data har rapporteret om en kompromittering af GitHub Actions arbejdsprocesser, hvilket gjorde det muligt for angribere at offentliggøre en version af pakken elementary-data 0.23.3 i PyPI-kataloget og i GitHub-repositoriet, hvor ondsindet kode blev integreret for at stjæle fortrolige oplysninger fra brugernes systemer. Den ondsindede version blev også inkluderet i det officielle Docker-image for projektet. I sidste måned blev pakken elementary-data downloadet fra PyPI-repositoriet mere end 1,1 millioner gange.
Den ondsindede udgivelse blev offentliggjort den 25. april kl. 01:20 (MSK) og forblev tilgængelig for download i mere end 11 timer (indtil 12:45). Angrebet blev udført ved at sende en pull-anmodning med en specielt formateret kommentar, der udnyttede en sårbarhed i den automatiske GitHub Action-behandler. Angriberne lykkedes med at køre shell-kommandoer i integrationsmiljøet og udtrække indholdet af miljøvariablen GITHUB_TOKEN, som indeholdt adgangstoken til repositoriet. Denne token blev brugt til at oprette flere grene i git og forberede en udgivelse.
Den udgivelse, der blev offentliggjort af angriberne, indeholdt ondsindet kode, kodet i base64-format, som aktiveredes ved installation af pakken. Den ondsindede kode udførte scanning af systemet og sendte fortrolige data, såsom SSH- og SSL/TLS-nøgler, indholdet af miljøvariabler, legitimationsoplysninger til AWS, GCP, Azure og K8s, nøgler til kryptovaluta-tegnebøger, databaser, SSH-historik, konfigurationsfiler fra Git, CI/CD, pakkehåndterere og Docker.
Kilde: opennet.ru
