Az Elementary Data bejelentette a GitHub Actions munkafolyamatainak kompromitálását, aminek következtében a támadók képesek voltak kiadni az elementary-data 0.23.3 csomag verzióját a PyPI könyvtárban és a GitHub tárolóban, amelybe rosszindulatú kódot ágyaztak be a felhasználók rendszeréből származó érzékeny információk ellopására. A rosszindulatú kiadás az érintett projekt hivatalos Docker-képébe is be lett építve. A múlt hónapban az elementary-data csomagot több mint 1,1 millió alkalommal töltötték le a PyPI-tárolóból.
A rosszindulatú kiadást április 25-én 1:20-kor (MSK) tették közzé, és több mint 11 órán keresztül volt elérhető letöltésre (12:45-ig). A támadást egy pull kérés elküldésével hajtották végre, amely egy speciálisan megfogalmazott kommentet tartalmazott, kihasználva egy sebezhetőséget a GitHub Action automatikusan hívott kezelőjében. A támadóknak sikerült shell parancsokat futtatniuk a folyamatos integrációs környezetben, és kinyerniük a GITHUB_TOKEN környezeti változó tartalmát, ami hozzáférési tokent biztosított a tárolóhoz. Ezt a tokent használták több git ághoz való létrehozására és a kiadás előkészítésére.
A támadók által kiadott verzióba rosszindulatú kódot építettek, amely base64 formátumban volt kódolva és a csomag telepítésekor aktiválódott. A rosszindulatú kód a rendszer átkutatását és érzékeny adatok, például SSH és SSL/TLS kulcsok, környezeti változók tartalma, AWS, GCP, Azure és K8s hitelesítő adatok, kriptovaluta pénztárcák kulcsai, adatbázisok jelszavai, parancssori operációk története, valamint Git, CI/CD, csomagkezelők és Docker konfigurációs fájljainak küldését végezte.
Forrás: opennet.ru
