Workflow GitHub Actions độc hại lan rộng trong nhiều kho mã
"Researchers reported an ongoing supply-chain attack in which compromised GitHub maintainer accounts were used to plant malicious GitHub Actions workflows across tens of thousands of repositories. The workflows exfiltrate secrets and credentials from repository secrets, working trees, and git history over HTTP to an attacker-controlled IP; no CVE is cited, and remediation is to remove the workflow, revoke compromised GitHub credentials, and rotate exposed secrets."
Ảnh hưởng trực tiếp đến bí mật xác thực và có thể dẫn tới chiếm quyền truy cập vào nhiều hệ thống liên quan. Rủi ro lan rộng qua forks và các kho dùng chung workflow.
Có thể gây gián đoạn CI/CD, phát sinh chi phí xoay vòng khóa và xử lý sự cố, đồng thời làm tăng nguy cơ lộ dữ liệu trong kho mã nội bộ và chuỗi cung ứng phần mềm.
Các nhà nghiên cứu an ninh ghi nhận một chiến dịch tấn công chuỗi cung ứng đang diễn ra, trong đó tài khoản duy trì GitHub bị chiếm quyền đã bị lợi dụng để chèn các GitHub Actions workflow độc hại vào hàng chục nghìn repository. Mã workflow này giả dạng kiểm tra bảo mật nhưng thực tế thu thập secrets, credentials và dữ liệu nhạy cảm từ repository secrets, working tree và git history, sau đó gửi ra ngoài qua HTTP tới một IP do kẻ tấn công kiểm soát.
Theo báo cáo, chiến dịch đã ảnh hưởng đến nhiều kho mã công khai và có thể lan sang forks nếu workflow độc hại vẫn còn được kích hoạt. Dữ liệu bị nhắm tới gồm SSH private keys, AWS keys, token của GitHub/GitLab, thông tin CI/CD, cùng khóa API của các dịch vụ AI, cloud và SaaS. Hiện chưa có CVE nào được nêu.
Khuyến nghị kỹ thuật gồm: kiểm tra các workflow có tên security-audit.yml hoặc github_actions_security.yml, xóa chúng khỏi mọi nhánh, thu hồi ngay GitHub credentials bị lộ, xoay vòng secrets đã bị ảnh hưởng và rà soát cả forks lẫn bản sao downstream. Với các kho riêng tư, cần giả định đã có khả năng bị lộ thông tin nếu workflow độc hại từng chạy.