Vulnerabilidad de GitHub Expone a Más de 4,000 a Ataques de RepoJacking

La vulnerabilidad de GitHub que expone a más de 4,000 a ataques de RepoJacking es perfilada por BTW Media porque la evidencia publicada la vincula con la infraestructura de internet, la gobernanza, las dependencias operativas o la visibilidad de mercado.

Imagen de PixaBay

GitHub, la plataforma de alojamiento de código ampliamente utilizada, reveló que más de 4,000 paquetes de código son vulnerables a ataques de RepoJacking. Esta falla, descubierta por investigadores de Checkmarx, ha generado preocupación en la comunidad de código abierto y provocó una rápida acción por parte de GitHub.

Explicación del Ataque de RepoJacking

RepoJacking, abreviatura de secuestro de repositorios, es una técnica utilizada por actores de amenazas para tomar el control de un repositorio. Este método de ataque implica explotar una condición de carrera entre los procesos de creación de repositorios y cambio de nombre de usuario de GitHub. Esencialmente, los atacantes reclaman el antiguo nombre de usuario de un repositorio después de que el creador legítimo cambia el nombre de usuario. Luego publican un repositorio fraudulento con el mismo nombre, engañando a los usuarios para que descarguen contenido malicioso.

Las consecuencias de esta vulnerabilidad son de gran alcance. Afecta a más de 4,000 paquetes de código en lenguajes de programación como Go, PHP y Swift, así como a GitHub Actions. Muchos de estos paquetes han ganado una popularidad significativa, con más de 1,000 estrellas. Aún no se ha descubierto el impacto potencial en millones de usuarios y diversas aplicaciones.

Respuesta de GitHub

Checkmarx divulgó responsablemente esta vulnerabilidad a GitHub el 1 de marzo de 2023, lo que provocó la acción de la plataforma. GitHub introdujo el mecanismo de "retiro de espacio de nombres de repositorios populares" para prevenir el RepoJacking. Con esta medida de seguridad, los repositorios con más de 100 clones en el momento del cambio de nombre de usuario se consideran "retirados" y no pueden ser utilizados por otros. La combinación del nombre de usuario y el nombre del repositorio también se considera "retirada".

Sin embargo, la medida de seguridad resultó ser fácilmente eludida. Checkmarx identificó más de 4,000 paquetes en gestores de paquetes que utilizaban nombres de usuario renombrados, lo que los ponía en riesgo de secuestro.

Cómo Funciona el Ataque

Checkmarx describió los pasos involucrados en el ataque de RepoJacking:

1. La víctima posee el espacio de nombres "victim_user/repo".
2. La víctima cambia el nombre de "victim_user" a "renamed_user".
3. El repositorio "victim_user/repo" pasa a estar retirado.
4. Un atacante con el nombre de usuario "attacker_user" crea simultáneamente un repositorio llamado "repo" y cambia el nombre de usuario "attacker_user" a "victim_user".

Esto se logra mediante una solicitud API para la creación del repositorio y una interceptación de solicitud de cambio de nombre para el cambio de nombre de usuario.

Vulnerabilidades Persistentes

Este descubrimiento muestra los riesgos continuos asociados con el mecanismo de "retiro de espacio de nombres de repositorios populares" de GitHub. Muchos usuarios de GitHub, incluidos aquellos que controlan repositorios y paquetes populares, eligen usar la función de "cambio de nombre de usuario" ofrecida por GitHub. Esto hace que eludir el "retiro de espacio de nombres de repositorios populares" sea un objetivo atractivo para los atacantes de la cadena de suministro.

GitHub Toma Medidas Decisivas

GitHub ha abordado el problema a partir del 1 de septiembre de 2023, después de la divulgación responsable por parte de Checkmarx. A la luz de esta vulnerabilidad, se recomienda a los usuarios que eviten usar espacios de nombres retirados para minimizar la superficie de ataque. Además, se recomiendan auditorías de código exhaustivas para garantizar que no haya dependencias que puedan conducir al secuestro de repositorios.

La vulnerabilidad de GitHub descubierta por Checkmarx muestra las amenazas persistentes para los proyectos de código abierto. Los usuarios deben permanecer atentos a medida que los métodos de ataque continúan evolucionando.