Раскрыта схема уязвимости в цепочке поставок CI/CD «Cordyceps», затронувшая репозитории Microsoft, Google и других компаний
TechFlow сообщает, 25 июня компания в сфере кибербезопасности Novee в своем новом исследовании объявила об обнаружении шаблона уязвимости цепочки поставок CI/CD под названием «Cordyceps», который в первую очередь связан с проблемами инъекции команд, нарушениями логики аутентификации, отравлением артефактов и повышением привилегий в рабочих процессах GitHub Actions. В отчете указывается, что данные уязвимости могут эксплуатироваться неаутентифицированными пользователями, позволяя в определенных условиях осуществить перехват рабочих процессов, кражу учетных данных или контроль над репозиториями кода.
Согласно данным Novee, после сканирования около 30 тыс. высоковлиятельных открытых репозиториев кода было выявлено 654 проекта с указанными рисками, более 300 из которых подтверждаемо эксплуатируемы. В качестве примеров в отчете приводятся такие проекты, как Microsoft Azure Sentinel, пример репозитория Google AI Agent Development Kit, Apache Doris, Cloudflare Workers SDK и Python Black. Авторы исследования также отмечают, что традиционные инструменты информационной безопасности затрудняются в выявлении подобных многоэтапных цепочек атак, охватывающих различные рабочие процессы, тогда как инструменты генерации кода на базе ИИ способны ускорить распространение небезопасных паттернов конфигурации CI/CD.
