Posts armadilhados em 61 repositórios GitHub visam segredos de CI
Um atacante suspeito de agir sozinho publicou 83 posts armadilhados em 61 repositórios GitHub, incluindo LangExtract do Google, Trivy e Brave, em 45 minutos, segundo a Radware. Os posts escondiam comandos em comentários HTML para fazer pipelines CI/CD vazarem segredos; a Radware viu o código executar duas vezes, mas não sabe o que foi levado. Quem mantém repositórios com pipelines ligadas a posts deve revisar execuções recentes e trocar segredos expostos.
O que aconteceu
Um atacante suspeito de agir sozinho publicou 83 posts armadilhados em 61 repositórios GitHub, entre eles LangExtract do Google, Trivy e Brave, em 45 minutos. Segundo a Radware, os posts escondiam comandos em comentários HTML para fazer pipelines de entrega de código vazarem segredos.
Por que importa
A Radware viu o código malicioso executar duas vezes e não sabe o que foi levado. Segredos de pipeline dão acesso aos sistemas que constroem e publicam software, então empresas que mantêm ou dependem desses projetos podem estar expostas a acesso não autorizado.
O que fazer
Verificar se nossos repositórios permitem posts ou comentários de estranhos que disparam pipelines; revisar as execuções resultantes e trocar todos os segredos usados nelas.
Para o time técnico
- Afetados
- Vários projetos de código aberto Repositórios GitHub de 61 projetos, incluindo LangExtract (Google), Trivy e Brave; pipelines CI/CD · 61 repositórios GitHub, incluindo LangExtract (Google), Trivy e Brave; versões não citadas na fonte.
- Exploração
- Exploração relatada pela Radware: o código foi executado duas vezes; a Radware afirma não saber o que foi levado.
- Correção
- Correção a confirmar
- Vetor
- Posts em repositórios GitHub com comandos escondidos em comentários HTML; pipelines CI/CD que processam os posts executam os comandos e vazam segredos. Mecanismo exato de execução não detalhado na fonte.
- Mais detalhes
- 83 posts publicados em 45 minutos por um atacante suspeito de agir sozinho. Detalhes relatados pela Radware.
Linha do tempo
Primeiro relato da campanha, com detalhes da Radware sobre o volume de posts e a execução observada do código.
Fontes 1 fonte
- @IntCyberDigest @IntCyberDigest
