Las grandes empresas se luchan después de que el ataque de la cadena de suministro derrame sus secretos
El software program de código abierto utilizado por más de 23,000 organizaciones, algunas de ellas en grandes empresas, se vio comprometido con el código de robo de credenciales después de que los atacantes obtuvieron acceso no autorizado a una cuenta de mantenimiento, en el último ataque de cadena de suministro de código abierto para aumentar el Web.
El paquete corrupto, TJ-ACTIONS/FILES CAMBIADOSes parte de TJ-Actionsuna colección de archivos utilizados por más de 23,000 organizaciones. TJ-Actions es una de las muchas Acciones de Githubuna forma de plataforma para racionalizar el software program disponible en la plataforma de desarrolladores de código abierto. Las acciones son un medio central para implementar lo que se conoce como CI/CDabreviatura de integración continua y implementación continua (o entrega continua).
Raspando la memoria del servidor a escala
El viernes o antes, el código fuente para todas las versiones de TJ-Actions/Change-Recordsdata recibió actualizaciones no autorizadas que cambiaron las «etiquetas» que los desarrolladores usan para hacer referencia a versiones de código específicas. Las etiquetas señalaron un archivo disponible públicamente que copia la memoria interna de Severs que la ejecuta, busca credenciales y las escribe a un registro. A consecuencias, muchos repositorios de acceso público que ejecutaban TJ-Actions terminaron mostrando sus credenciales más sensibles en los registros que cualquiera podría ver.
«La parte aterradora de las acciones es que a menudo pueden modificar el código fuente del repositorio que los está utilizando y acceder a cualquier variable secreta asociada con un flujo de trabajo», dijo HD Moore, fundador y CEO de Runczero y experto en seguridad de código abierto, en una entrevista. «El uso más paranoico de acciones es auditar todo el código fuente, luego fijar el hash de confirmación específico en lugar de la etiqueta en el … el flujo de trabajo, pero esto es una molestia».
