Les chercheurs en cybers\u00e9curit\u00e9 attirent l’attention sur un incident au cours duquel les actions TJ-Action \/ changements populaires de GitHub ont \u00e9t\u00e9 compromises pour les secrets de fuite des r\u00e9f\u00e9rentiels en utilisant l’int\u00e9gration continue et le flux de travail de livraison continue (CI \/ CD).<\/p>\n
Le incident<\/a> impliqu\u00e9 le TJ-Action \/ Files modifi\u00e9s<\/a> GitHub Action, qui est utilis\u00e9 dans plus de 23 000 r\u00e9f\u00e9rentiels. Il est utilis\u00e9 pour suivre et r\u00e9cup\u00e9rer tous les fichiers et r\u00e9pertoires modifi\u00e9s.<\/p>\n Le compromis de la cha\u00eene d’approvisionnement a \u00e9t\u00e9 attribu\u00e9 \u00e0 l’identifiant CVE CVE-2025-30066<\/a> (Score CVSS: 8.6). L’incident aurait eu lieu quelque temps avant le 14 mars 2025.<\/p>\n “Dans cette attaque, les attaquants ont modifi\u00e9 le code de l’action et ont mis \u00e0 jour r\u00e9troactivement plusieurs balises de version pour r\u00e9f\u00e9rencer le commit malveillant” dit<\/a>. “L’action compromise imprime les secrets CI \/ CD dans les actions GitHub construisent les journaux.”<\/p>\n Le r\u00e9sultat net de ce comportement est que si les journaux de workflow sont accessibles au public, ils pourraient conduire \u00e0 l’exposition non autoris\u00e9e de secrets sensibles lorsque l’action est ex\u00e9cut\u00e9e sur les r\u00e9f\u00e9rentiels.<\/p>\n Cela comprend les cl\u00e9s d’acc\u00e8s AWS, les jetons d’acc\u00e8s personnels GitHub (PATS), les jetons NPM et les cl\u00e9s RSA priv\u00e9es, entre autres. Cela dit, il n’y a aucune preuve que les secrets divulgu\u00e9s ont \u00e9t\u00e9 siphonn\u00e9s dans une infrastructure contr\u00f4l\u00e9e par l’attaquant.<\/p>\n Plus pr\u00e9cis\u00e9ment, le Code ins\u00e9r\u00e9 malveillant<\/a> est con\u00e7u pour ex\u00e9cuter un script Python h\u00e9berg\u00e9 sur un Github Gist qui vide les secrets CI \/ CD du processus de travailleur du coureur. On dit qu’il est originaire d’un engagement de code source non v\u00e9rifi\u00e9. Le Github Gist a depuis \u00e9t\u00e9 abattu.<\/p>\n “TJ-Action \/ Change-Files est utilis\u00e9 dans les pipelines de d\u00e9veloppement de logiciels d’une organisation”, a d\u00e9clar\u00e9 Dimitri Stiliadis, CTO et co-fondateur d’Endor Labs, dans un communiqu\u00e9 partag\u00e9 avec The Hacker News. “Apr\u00e8s que les d\u00e9veloppeurs aient \u00e9crit et r\u00e9vis\u00e9 le code, ils publient g\u00e9n\u00e9ralement dans la branche principale de leur r\u00e9f\u00e9rentiel. De l\u00e0, les\u00ab pipelines \u00bbprennent-le, le construisent pour la production et le d\u00e9ploient.”<\/p>\n “TJ-Action \/ Change-Files aide \u00e0 d\u00e9tecter les modifications de fichiers dans un r\u00e9f\u00e9rentiel. Il vous permet de v\u00e9rifier quels fichiers ont \u00e9t\u00e9 ajout\u00e9s, modifi\u00e9s ou supprim\u00e9s entre les commits, les succursales ou les demandes de traction.”<\/p>\n “Les attaquants modifi\u00e9 le code de l’action<\/a> et mis \u00e0 jour r\u00e9troactivement plusieurs balises de version pour r\u00e9f\u00e9rencer le commit malveillant. L’action compromise ex\u00e9cute d\u00e9sormais un script python malveillant qui vide les secrets CI \/ CD, ce qui a un impact sur des milliers de pipelines CI. “<\/p>\n Les responsables du projet ont d\u00e9clar\u00e9 que les acteurs de menaces inconnus derri\u00e8re l’incident avaient r\u00e9ussi \u00e0 compromettre un jeton d’acc\u00e8s personnel GitHub (PAT) utilis\u00e9 par @ tj-actions-bot, un bot avec un acc\u00e8s privil\u00e9gi\u00e9 au r\u00e9f\u00e9rentiel compromis.<\/p>\n Apr\u00e8s la d\u00e9couverte, le mot de passe du compte a \u00e9t\u00e9 mis \u00e0 jour, l’authentification a \u00e9t\u00e9 mise \u00e0 niveau pour utiliser un touke Github a \u00e9galement r\u00e9voqu\u00e9 le PAT compromis.<\/p>\n “Le jeton d’acc\u00e8s personnel touch\u00e9 a \u00e9t\u00e9 stock\u00e9 comme un secret d’action Github qui a depuis \u00e9t\u00e9 r\u00e9voqu\u00e9”, les responsables ajout\u00e9<\/a>. “\u00c0 l’avenir, aucun PAT ne serait utilis\u00e9 pour tous les projets de l’organisation des actions TJ pour emp\u00eacher tout risque de r\u00e9apparition.”<\/p>\n Quiconque utilise l’action GitHub est conseill\u00e9 de mettre \u00e0 jour derni\u00e8re version<\/a> (46.0.1) d\u00e8s que possible. Il est \u00e9galement conseill\u00e9 aux utilisateurs d’examiner tous les flux de travail ex\u00e9cut\u00e9s entre le 14 mars et le 15 mars et de v\u00e9rifier la \u00absortie inattendue dans la section des fichiers modifi\u00e9s\u00bb. <\/p>\n Ce n’est pas la premi\u00e8re fois qu’un probl\u00e8me de s\u00e9curit\u00e9 est signal\u00e9 dans l’action TJ-Action \/ Files modifi\u00e9e. En janvier 2024, chercheur en s\u00e9curit\u00e9 Adnan Khan r\u00e9v\u00e9l\u00e9<\/a> D\u00e9tails d’une faille critique (CVE-2023-49291<\/a>Score CVSS: 9.8) affectant les actions TJ \/ Files modifi\u00e9es et les noms TJ-Action \/ Branch qui pourraient ouvrir la voie \u00e0 l’ex\u00e9cution de code arbitraire.<\/p>\n Le d\u00e9veloppement souligne une fois de plus comment les logiciels open source restent particuli\u00e8rement sensibles aux risques de la cha\u00eene d’approvisionnement, ce qui pourrait alors avoir de graves cons\u00e9quences pour plusieurs clients en aval \u00e0 la fois.<\/p>\n “Depuis le 15 mars 2025, toutes les versions de TJ-Action \/ Files modifi\u00e9es se sont r\u00e9v\u00e9l\u00e9es affect\u00e9es, car l’attaquant a r\u00e9ussi \u00e0 modifier les \u00e9tiquettes de version existantes pour les faire pointer tous vers leur code malveillant”, Cloud Security Firm Wiz dit<\/a>.<\/p>\n “Les clients qui utilisaient une version p\u00e9ch\u00e9e de hachage de TJ-Action \/ Files modifi\u00e9s ne seraient pas affect\u00e9s, \u00e0 moins qu’ils ne soient mis \u00e0 jour vers un hachage touch\u00e9 pendant le d\u00e9lai d’exploitation.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Le-compromis-daction-GitHub-met-en-danger-les-secrets-CI.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n