Foi identificada uma nova classe de vulnerabilidade em fluxos de trabalho de CI/CD, denominada Cordyceps, que permite que atacantes sequestrem fluxos de trabalho e comprometam cadeias de suprimentos de código aberto. Essa vulnerabilidade, descoberta pela Novee Security, pode permitir o controle total de repositórios de dezenas das maiores organizações mundiais, incluindo Microsoft, Google, Apache, entre outras.
Detalhes Técnicos
A vulnerabilidade Cordyceps afeta o fluxo de trabalho de CI/CD, permitindo que atacantes injetem código malicioso e comprometam repositórios.
Mais de 300 repositórios GitHub são vulneráveis a esse tipo de ataque.
Organizações como Microsoft, Google e Apache podem ser afetadas, representando um risco significativo para a segurança da cadeia de suprimentos.
Recomendações
Atualizar e reforçar as práticas de segurança em fluxos de trabalho de CI/CD.
Implementar medidas de controle de acesso e monitoramento de atividades suspeitas.
Realizar auditorias de segurança regulares nos repositórios e pipelines de CI/CD.
Essa vulnerabilidade destaca a importância de proteger os fluxos de trabalho de CI/CD contra ataques, garantindo a integridade da cadeia de suprimentos de software.
