Los investigadores de ciberseguridad est\u00e1n llamando la atenci\u00f3n sobre un incidente en el que la popular acci\u00f3n de GitHub TJ-Actions\/cambi\u00f3 de archivos se comprometi\u00f3 a filtrar secretos de repositorios utilizando el flujo de trabajo de integraci\u00f3n continua y entrega continua (CI\/CD).<\/p>\n
El incidente<\/a> involucr\u00f3 el TJ-ACTIONS\/FILES CAMBIADOS<\/a> GitHub Action, que se usa en m\u00e1s de 23,000 repositorios. Se usa para rastrear y recuperar todos los archivos y directorios cambiados.<\/p>\n Se ha asignado al compromiso de la cadena de suministro al identificador CVE CVE-2025-30066<\/a> (Puntuaci\u00f3n CVSS: 8.6). Se dice que el incidente tuvo lugar en alg\u00fan momento antes del 14 de marzo de 2025.<\/p>\n “En este ataque, los atacantes modificaron el c\u00f3digo de la acci\u00f3n y actualizaron retroactivamente m\u00faltiples etiquetas de versi\u00f3n para hacer referencia a la confirmaci\u00f3n maliciosa”, StepSecurity dicho<\/a>. “La acci\u00f3n comprometida imprime los secretos CI\/CD en las acciones de GitHub construye registros”.<\/p>\n El resultado neto de este comportamiento es que si los registros de flujo de trabajo sean accesibles p\u00fablicamente, podr\u00edan conducir a la exposici\u00f3n no autorizada de secretos sensibles cuando la acci\u00f3n se ejecuta en los repositorios.<\/p>\n Esto incluye las claves de acceso de AWS, los tokens de acceso personal GitHub (PAT), los tokens NPM y las claves RSA privadas, entre otros. Dicho esto, no hay evidencia de que los secretos filtrados fueran desviados a cualquier infraestructura controlada por los atacantes.<\/p>\n Espec\u00edficamente, el c\u00f3digo insertado maliciosamente<\/a> est\u00e1 dise\u00f1ado para ejecutar un script de Python alojado en un GitHub GIST que arroja los secretos de CI\/CD del proceso de trabajador del corredor. Se dice que se origin\u00f3 a partir de una confirmaci\u00f3n de c\u00f3digo fuente no verificado. La esencia de Github ha sido derribada desde entonces.<\/p>\n “TJ-Actions\/Change-Files se utiliza en las tuber\u00edas de desarrollo de software de una organizaci\u00f3n”, dijo Dimitri Stiliadis, CTO y cofundador de Endor Labs, en un comunicado compartido con Hacker News. “Despu\u00e9s de que los desarrolladores escriben y revisen el c\u00f3digo, generalmente publican en la rama principal de su repositorio. A partir de ah\u00ed, los ‘tuber\u00edas’ lo toman, lo construyen para la producci\u00f3n y lo implementan”.<\/p>\n “TJ-Actions\/Change-Files ayuda a detectar cambios de archivos en un repositorio. Le permite verificar qu\u00e9 archivos se han agregado, modificado o eliminado entre compromisos, ramas o solicitudes de extracci\u00f3n”.<\/p>\n “Los atacantes modificado el c\u00f3digo de la acci\u00f3n<\/a> y actualizadas retroactivamente m\u00faltiples etiquetas de versi\u00f3n para hacer referencia a la confirmaci\u00f3n maliciosa. La acci\u00f3n comprometida ahora ejecuta un script de Python malicioso que arroja secretos de CI\/CD, impactando miles de tuber\u00edas de CI “.<\/p>\n Los mantenedores del proyecto han declarado que los actores de amenaza desconocidos detr\u00e1s del incidente lograron comprometer un token de acceso personal GitHub (PAT) utilizado por @tj-dactils-bot, un bot con acceso privilegiado al repositorio comprometido.<\/p>\n Despu\u00e9s del descubrimiento, la contrase\u00f1a de la cuenta se ha actualizado, la autenticaci\u00f3n se ha actualizado para usar una tecla PassKey, y sus niveles de permisos se han actualizado de manera que siga el principio de menor privilegio. Github tambi\u00e9n ha revocado la patada comprometida.<\/p>\n “El token de acceso personal afectado se almacen\u00f3 como un secreto de acci\u00f3n de Github que desde entonces ha sido revocado”, los mantenedores agregado<\/a>. “En el futuro no se utilizar\u00eda ninguna PAT para todos los proyectos en la organizaci\u00f3n TJ-Actions para evitar cualquier riesgo de recurrencia”.<\/p>\n Se recomienda a cualquier persona que use la acci\u00f3n de GitHub que actualice el \u00faltima versi\u00f3n<\/a> (46.0.1) Tan pronto como sea posible. Tambi\u00e9n se aconseja a los usuarios que revisen todos los flujos de trabajo ejecutados entre el 14 de marzo y el 15 de marzo y verifiquen la “salida inesperada en la secci\u00f3n de archivos cambiados”. <\/p>\n Esta no es la primera vez que se ha marcado un problema de seguridad en la acci\u00f3n TJ-Actions\/Cambied-Files. En enero de 2024, el investigador de seguridad Adnan Khan revel\u00f3<\/a> detalles de un defecto cr\u00edtico (CVE-2023-49291<\/a>Puntuaci\u00f3n CVSS: 9.8) que afectan TJ-Actions\/Cambied-Files y TJ-Actions\/Branch-Names que podr\u00edan allanar el camino para la ejecuci\u00f3n del c\u00f3digo arbitrario.<\/p>\n El desarrollo una vez m\u00e1s subraya c\u00f3mo el software de c\u00f3digo abierto sigue siendo particularmente susceptible a los riesgos de la cadena de suministro, lo que podr\u00eda tener serias consecuencias para varios clientes aguas abajo a la vez.<\/p>\n “A partir del 15 de marzo de 2025, todas las versiones de TJ-Actions\/Change-Files se vieron afectadas, ya que el atacante logr\u00f3 modificar las etiquetas de versi\u00f3n existentes para que todos apunten a su c\u00f3digo malicioso”, la firma de seguridad en la nube Wiz dicho<\/a>.<\/p>\n “Los clientes que usaban una versi\u00f3n de hash de TJ-Actions\/cambiado no se ver\u00edan afectados, a menos que se hayan actualizado a un hash impactado durante el plazo de explotaci\u00f3n”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/El-compromiso-de-la-accion-de-GitHub-pone-los-secretos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n