Firma Elementary Data poinformowa\u0142a o kompromitacji proces\u00f3w GitHub Actions, w wyniku kt\u00f3rej hakerzy opublikowali w katalogu PyPI oraz w repozytorium GitHub wydanie pakietu elementary-data 0.23.3, w kt\u00f3rym wprowadzono z\u0142o\u015bliwy kod do kradzie\u017cy poufnych informacji z system\u00f3w u\u017cytkownik\u00f3w. Z\u0142o\u015bliwe wydanie zosta\u0142o r\u00f3wnie\u017c uwzgl\u0119dnione w oficjalnym obrazie Docker projektu. W zesz\u0142ym miesi\u0105cu pakiet elementary-data zosta\u0142 pobrany z repozytorium PyPI ponad 1,1 mln razy. <\/p>\n
Z\u0142o\u015bliwe wydanie zosta\u0142o opublikowane 25 kwietnia o 1:20 (MSK) i pozostawa\u0142o dost\u0119pne do pobrania przez ponad 11 godzin (do 12:45). Atak zosta\u0142 przeprowadzony poprzez wys\u0142anie pull requestu z specjalnie sformu\u0142owanym komentarzem, wykorzystuj\u0105cym luk\u0119 w automatycznie wywo\u0142ywanym handlerze GitHub Action. Napastnikom uda\u0142o si\u0119 uruchomi\u0107 polecenia shell w \u015brodowisku ci\u0105g\u0142ej integracji i wyodr\u0119bni\u0107 z niego zawarto\u015b\u0107 zmiennej \u015brodowiskowej GITHUB_TOKEN z tokenem dost\u0119pu do repozytorium. Token ten zosta\u0142 u\u017cyty do stworzenia kilku ga\u0142\u0119zi w git i przygotowania wydania.<\/p>\n
Do opublikowanego przez atakuj\u0105cych wydania w\u0142\u0105czono z\u0142o\u015bliwy kod, zakodowany w formacie base64 i aktywowany podczas instalacji pakietu. Z\u0142o\u015bliwy kod skanowa\u0142 system i wysy\u0142a\u0142 poufne dane, takie jak klucze SSH i SSL\/TLS, zawarto\u015b\u0107 zmiennych \u015brodowiskowych, dane dost\u0119powe do AWS, GCP, Azure oraz K8s, klucze do portfeli kryptograficznych, has\u0142a do baz danych, histori\u0119 operacji w interpreterze polece\u0144, pliki konfiguracyjne Git, CI\/CD, mened\u017cer\u00f3w pakiet\u00f3w oraz Docker. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"