4.837 ele GitHub hesabı ele geçirildi, 1.806'dan fazla depoda CI sırlarını çalan kod çalıştı

Saldırgan çalınmış hesap bilgileriyle depoları tarayıp kötü amaçlı kod yerleştirdi; etkilenen depolardaki token, bulut anahtarları ve CI sırlarının hemen yenilenmesi gerekiyor.

Saldırgan, yaklaşık 4.800 GitHub hesabına ait çalınmış kimlik bilgilerini kullanarak 61.000'den fazla depoya deneme amaçlı çekme isteği açtı. Hesapların yazma yetkisi olduğu depolarda ise gizli bilgi çalan bir kod yerleştirdi.

Aikido Security, bu kodun en az 1.806 depoda çalıştığına dair belirtiler buldu. Bu depolardaki CI iş akışlarının erişebildiği sırlar ve bulut kimlik bilgileri ifşa olmuş kabul edilmeli. SafeDep ise kötü amaçlı commit alan 8.093 depo saydı; ancak bu rakam kodun gerçekten çalıştığı depoları değil, değişiklik alan depoları kapsıyor ve kamuya açık depolar için muhtemelen eksik.

Kod token'ları, bulut anahtarlarını ve runner belleğini topluyor. Toplanan bilgilerle AWS rolleri veya Azure federated kimlik bilgileri üzerinden kalıcı erişim de açılabiliyor. StepSecurity, deneme isteklerinin bir kısmının Fly.io GitHub uygulamasına verilmiş token'lara kadar izlendiğini, ancak Fly.io altyapısına yönelik bir ihlal bulunmadığını bildirdi.