Tvrtka Elementary Data izvijestila je o kompromitaciji radnih procesa GitHub Actions, uslijed koje su napadači uspjeli objaviti paket elementary-data verzije 0.23.3 u PyPI repozitoriju i na GitHub-u, u koji je ugrađen zlonamjerni kod za krađu povjerljivih informacija iz sustava korisnika. Zlonamjenska verzija također je uključena u službeni Docker image projekta. U prošlom mjesecu paket elementary-data preuzet je više od 1,1 milijun puta iz PyPI repozitorija.
Zlonamjerna verzija objavljena je 25. travnja u 1:20 (MSK) i bila je dostupna za preuzimanje više od 11 sati (do 12:45). Napad je proveden slanjem pull zahtjeva sa posebno oblikovanim komentarom koji iskorištava ranjivost u automatskom obrađivaču GitHub Action. Napadačima je uspjelo pokrenuti shell naredbe u okruženju kontinuirane integracije i izvući sadržaj varijable okruženja GITHUB_TOKEN koja sadrži pristupni token za repozitorij. Ovaj token korišten je za kreiranje nekoliko grana u gitu i pripremu objavljivanja.
Objavljenoj zlonamjernoj verziji integriran je zlonamjerni kod, kodiran u base64 formatu i aktiviran prilikom instalacije paketa. Zlonamjerni kod skenirao je sustav i slao povjerljive podatke, poput SSH i SSL/TLS ključeva, sadržaja varijabli okruženja, AWS, GCP, Azure i K8s vjerodajnica, ključeva za kriptovalute, lozinki za DBMS, povijesti operacija u komandnom interpreteru, konfiguracijskih datoteka za Git, CI/CD, upravitelje paketa i Docker.
Izvor: opennet.ru
