Lỗ hổng “GitLost” có thể rò rỉ dữ liệu từ kho GitHub riêng qua workflow tác nhân
"A flaw dubbed "GitLost" allows an unauthenticated attacker to create a GitHub Issue in an organization's public repository and use it to silently extract data from the organization's private repositories through agentic workflows. The reported issue describes unauthorized data exposure affecting GitHub workflow behavior; no CVE is provided and the content does not mention a specific patch or fix."
Nguy cơ cao do rò rỉ dữ liệu từ private repository có thể xảy ra thông qua agentic workflows; điểm đáng chú ý là kẻ tấn công có thể tác động mà không cần xác thực.
Có thể gây gián đoạn tuân thủ và rủi ro lộ thông tin nội bộ nếu workflow bị khai thác; ảnh hưởng phụ thuộc vào mức độ dữ liệu nhạy cảm trong private repository và phạm vi quyền của workflow.
Một lỗ hổng được gọi là “GitLost” được cho là cho phép kẻ tấn công không cần xác thực tạo GitHub Issue trong một kho công khai thuộc tổ chức. Sau khi Issue được tạo, kẻ tấn công có thể lợi dụng agentic workflows để lặng lẽ trích xuất dữ liệu từ các kho private repository của chính tổ chức đó.
Theo mô tả hiện có, vấn đề liên quan đến việc hành vi của workflow có thể bị kích hoạt theo cách không mong muốn, dẫn đến tiết lộ dữ liệu trái phép. Nội dung không cung cấp CVE, cũng như không nêu rõ bản vá hoặc cơ chế khắc phục cụ thể.
Khuyến nghị: rà soát các workflow có khả năng phản hồi sự kiện tạo Issue; áp dụng nguyên tắc least privilege cho token/quyền truy cập; kiểm tra điều kiện lọc đầu vào (ví dụ chỉ cho phép từ nguồn tin cậy); và theo dõi log để phát hiện các luồng workflow bất thường dẫn tới truy cập dữ liệu từ kho riêng.