Un vecteur d’attaque nouvellement d\u00e9couvert dans les artefacts GitHub Actions baptis\u00e9 ArtiPACKED<\/strong> pourrait \u00eatre exploit\u00e9 pour prendre le contr\u00f4le des r\u00e9f\u00e9rentiels et acc\u00e9der aux environnements cloud des organisations.<\/p>\n \u00ab Une combinaison de mauvaises configurations et de failles de s\u00e9curit\u00e9 peut entra\u00eener la fuite de jetons d’artefacts, \u00e0 la fois de services cloud tiers et de jetons GitHub, les rendant disponibles \u00e0 toute personne disposant d’un acc\u00e8s en lecture au r\u00e9f\u00e9rentiel pour les consommer \u00bb, a d\u00e9clar\u00e9 Yaron Avital, chercheur de l’unit\u00e9 42 de Palo Alto Networks. dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n \u00ab Cela permet aux acteurs malveillants ayant acc\u00e8s \u00e0 ces artefacts de compromettre potentiellement les services auxquels ces secrets donnent acc\u00e8s. \u00bb<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir principalement observ\u00e9 la fuite de jetons GitHub (par exemple, GITHUB_TOKEN et ACTIONS_RUNTIME_TOKEN), qui pourraient non seulement donner aux acteurs malveillants un acc\u00e8s non autoris\u00e9 aux r\u00e9f\u00e9rentiels, mais \u00e9galement leur donner la possibilit\u00e9 d’empoisonner le code source et de le pousser vers la production via les flux de travail CI\/CD.<\/p>\n Artefacts dans GitHub permettre<\/a> Les utilisateurs peuvent partager des donn\u00e9es entre les t\u00e2ches d’un workflow et conserver ces informations apr\u00e8s leur ex\u00e9cution pendant 90 jours. Cela peut inclure des builds, des fichiers journaux, des vidages de m\u00e9moire, des sorties de test et des packages de d\u00e9ploiement.<\/p>\n Le probl\u00e8me de s\u00e9curit\u00e9 ici est que ces artefacts sont accessibles au public pour tous dans le cas de projets open source, ce qui en fait une ressource pr\u00e9cieuse pour extraire des secrets comme les jetons d’acc\u00e8s GitHub.<\/p>\n En particulier, il a \u00e9t\u00e9 d\u00e9couvert que les artefacts exposent une variable d\u2019environnement non document\u00e9e appel\u00e9e ACTIONS_RUNTIME_TOKEN, qui a une dur\u00e9e de vie d\u2019environ six heures et pourrait \u00eatre utilis\u00e9e pour remplacer un artefact par une version malveillante avant son expiration.<\/p>\n Cela pourrait alors ouvrir une fen\u00eatre d’attaque pour l’ex\u00e9cution de code \u00e0 distance lorsque les d\u00e9veloppeurs t\u00e9l\u00e9chargent et ex\u00e9cutent directement l’artefact malveillant ou qu’il existe un travail de workflow ult\u00e9rieur configur\u00e9 pour s’ex\u00e9cuter sur la base d’artefacts pr\u00e9c\u00e9demment t\u00e9l\u00e9charg\u00e9s.<\/p>\n Bien que GITHUB_TOKEN expire \u00e0 la fin du travail, des am\u00e9liorations ont \u00e9t\u00e9 apport\u00e9es \u00e0 la fonctionnalit\u00e9 d’artefacts avec version 4<\/a> Cela signifie qu’un attaquant pourrait exploiter des sc\u00e9narios de conditions de concurrence pour voler et utiliser le jeton en t\u00e9l\u00e9chargeant un artefact pendant qu’une ex\u00e9cution de workflow est en cours.<\/p>\n Le jeton vol\u00e9 pourrait ensuite \u00eatre utilis\u00e9 pour envoyer du code malveillant vers le r\u00e9f\u00e9rentiel en cr\u00e9ant une nouvelle branche avant la fin de la t\u00e2che du pipeline et l’invalidation du jeton. Cependant, cette attaque repose sur le fait que le workflow dispose de l’autorisation \u00ab\u00a0contenu\u00a0: \u00e9criture\u00a0\u00bb.<\/p>\n Plusieurs r\u00e9f\u00e9rentiels open source li\u00e9s \u00e0 Amazon Web Services (AWS), Google, Microsoft, Red Hat et Ubuntu ont \u00e9t\u00e9 identifi\u00e9s comme vuln\u00e9rables \u00e0 l’attaque. GitHub, pour sa part, a class\u00e9 le probl\u00e8me comme informatif, exigeant que les utilisateurs prennent sur eux de s\u00e9curiser les artefacts qu’ils ont t\u00e9l\u00e9charg\u00e9s.<\/p>\n \u00ab L’abandon d’Artifacts V3 par GitHub devrait inciter les organisations qui utilisent le m\u00e9canisme des artefacts \u00e0 r\u00e9\u00e9valuer la fa\u00e7on dont elles l’utilisent \u00bb, a d\u00e9clar\u00e9 Avital. \u00ab Les \u00e9l\u00e9ments n\u00e9glig\u00e9s comme les artefacts de build deviennent souvent des cibles de choix pour les attaquants. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/La-vulnerabilite-GitHub-ArtiPACKED-expose-les-depots-a.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n