Das Unternehmen Elementary Data hat von einer Kompromittierung der Arbeitsabläufe von GitHub Actions berichtet, durch die Angreifer in der Lage waren, die Version des Pakets elementary-data 0.23.3 im PyPI-Verzeichnis und im GitHub-Repository zu veröffentlichen, die schädlichen Code zum Stehlen vertraulicher Informationen aus den Systemen der Nutzer beinhaltete. Die schädliche Version wurde auch in das offizielle Docker-Image des Projekts aufgenommen. Im letzten Monat wurde das Paket elementary-data über 1,1 Millionen Mal aus dem PyPI-Repository heruntergeladen.
Die schädliche Veröffentlichung wurde am 25. April um 1:20 Uhr (MSK) veröffentlicht und war über 11 Stunden lang (bis 12:45 Uhr) zum Download verfügbar. Der Angriff wurde durch das Senden eines Pull-Requests mit einem speziell gestalteten Kommentar durchgeführt, der eine Schwachstelle im automatisch aufgerufenen Handler von GitHub Actions ausnutzte. Den Angreifern gelang es, Shell-Befehle in der kontinuierlichen Integrationsumgebung auszuführen und den Inhalt der Umgebungsvariablen GITHUB_TOKEN mit dem Zugriffstoken für das Repository zu extrahieren. Dieses Token wurde verwendet, um mehrere Branches in Git zu erstellen und die Veröffentlichung vorzubereiten.
Im veröffentlichten Release, das von den Angreifern bereitgestellt wurde, war schadhafter Code enthalten, der im base64-Format kodiert und bei der Installation des Pakets aktiviert wurde. Der schadhafte Code führte eine Systemscan durch und versendete vertrauliche Daten wie SSH- und SSL/TLS-Schlüssel, Inhalte von Umgebungsvariablen, AWS-, GCP-, Azure- und K8s-Anmeldeinformationen, Schlüssel zu Kryptowallets, Datenbankpasswörter, die Historie der Befehle im Kommandozeileninterpret, Konfigurationsdateien von Git, CI/CD, Paketmanagern und Docker.
Quelle: opennet.ru
