Security Week 2513: атака на GitHub Actions
Важной новостью в сфере информационной безопасности на прошлой неделе стал взлом репозитория tj-actions/changed-files . Это так называемый рабочий процесс или GitHub Actions , позволяющий выполнять определенные операции над исходным кодом прямо в репозитории GitHub. Инцидент подробно освещался ( пост на Хабре, статья в издании Ars Technica, обзорная публикация в блоге «Лаборатории Касперского»), и на то есть причины. Взлом GitHub Actions приводит к практически неизбежной компрометации репозиториев, которые используют этот конкретный обработчик у себя. Обработчик changed-files, как следует из названия, позволяет отслеживать изменения файлов и затем выполнять определенные действия с исходным кодом. Он использовался как минимум в 23 тысячах репозиториев кода на GitHub. В пятницу 14 марта в код changed-files было внесено вредоносное дополнение, которое первыми обнаружили исследователи из компании Step Security. Они же завели тикет в репозитории проекта. Администрация GitHub сначала выключила доступ к changed-files, а затем вредоносный код был удален — всего он был доступен около суток.