Une attaque de la chaîne d'approvisionnement a potentiellement fuit des secrets dans des milliers d'organisations, bien qu'une action Github compromise ait été signalée par la plate-forme.
Les modifications de l'action GitHub TJ-Aactions / Files modifiées, utilisée dans plus de 20 000 référentiels, avaient injecté du code malveillant pour imprimer des informations d'identification pour les systèmes exécutant l'action dans des journaux de construction.
Stepscurity, qui a repéré le mauvais engagement, a déclaré: «L'action compromise imprime les secrets CI / CD dans les actions GitHub construise des journaux.
«Si les journaux de workflow sont accessibles au public (comme dans les référentiels publics), n'importe qui pourrait potentie...
[Courte citation de 8% de l'article original]