به گزارش The Hacker News، یک کمپین خودکار با استفاده از توکن‌های به سرقت رفته گیت‌هاب، گردش‌کارهایی را در مخازن خصوصی ایجاد می‌کند که اطلاعات محرمانه را در گزارش‌های GitHub Actions چاپ می‌کنند.
به گزارش شرکت امنیت ابری Wiz، مهاجمان در این کمپین با بهره‌گیری از توکن‌های سرقت‌شده، پیکربندی‌های جدیدی را در مخازن هدف پیاده‌سازی می‌کنند. این گردش‌کارها به گونه‌ای طراحی شده‌اند که اطلاعات محرمانه و کلیدهای مخزن را مستقیماً در گزارش‌های GitHub Actions چاپ کنند.
مهاجمان پس از چاپ این اطلاعات در لاگ‌ها، پیش از آنکه رکوردها حذف شوند، فایل‌های گزارش را دانلود کرده و اسرار مخزن را به سرقت می‌برند. این حملات توانسته‌اند در مخازن خصوصی و محیط‌های سازمانی GitHub Enterprise به موفقیت دست پیدا کنند.
نکات کلیدی این خبر
- استفاده از توکن‌های به سرقت رفته گیت‌هاب در یک کمپین خودکار
- چاپ شدن اسرار مخزن در گزارش‌های GitHub Actions توسط مهاجمان
- دانلود لاگ‌ها و حذف اجراها پیش از آنکه حذف شوند
- هدف قرار گرفتن مخازن خصوصی و محیط‌های سازمانی GitHub Enterprise
این خبر برای شما چه معنایی دارد؟
مدیران سیستم و توسعه‌دهندگانی که از مخازن گیت‌هاب و ابزارهای CI/CD استفاده می‌کنند، باید دسترسی توکن‌ها و امنیت گردش‌کارهای GitHub Actions را بررسی کنند. لو رفتن توکن‌های دسترسی می‌تواند منجر به افشای اطلاعات محرمانه و کلیدهای اتصال در پروژه‌ها شود.
منبع خبر
The Hacker News
— Gheist Uses Stolen GitHub Tokens to Steal Private Repository Secrets via Actions Logs
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
