Vulnerabilidade do GitHub Expõe Mais de 4.000 a Ataques de RepoJacking

A vulnerabilidade do GitHub que expõe mais de 4.000 a ataques de RepoJacking é perfilada pela BTW Media porque evidências publicadas a vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

Imagem do PixaBay

GitHub, a plataforma de hospedagem de código amplamente usada, revelou que mais de 4.000 pacotes de código estão vulneráveis a ataques de RepoJacking. Esta falha, descoberta por pesquisadores da Checkmarx, levantou preocupações na comunidade de código aberto e levou a uma ação rápida do GitHub.

O Ataque de RepoJacking Explicado

RepoJacking, abreviação de sequestro de repositório, é uma técnica usada por atores de ameaças para assumir o controle de um repositório. Este método de ataque envolve explorar uma condição de corrida entre a criação de repositório do GitHub e os processos de renomeação de nome de usuário. Essencialmente, os atacantes reivindicam o nome de usuário antigo de um repositório após o criador legítimo alterar o nome de usuário. Em seguida, eles publicam um repositório fraudulento com o mesmo nome, enganando os usuários para baixar conteúdo malicioso.

As consequências dessa vulnerabilidade são de longo alcance. Ela afeta mais de 4.000 pacotes de código em linguagens de programação como Go, PHP e Swift, além de ações do GitHub. Muitos desses pacotes ganharam popularidade significativa, com mais de 1.000 estrelas. Ainda estamos para descobrir o impacto potencial em milhões de usuários e várias aplicações.

Resposta do GitHub

A Checkmarx divulgou responsavelmente essa vulnerabilidade ao GitHub em 1º de março de 2023, o que provocou ação da plataforma. O GitHub introduziu o mecanismo de “aposentadoria de namespace de repositório popular” para prevenir RepoJacking. Com essa medida de segurança, repositórios com mais de 100 clones no momento de uma alteração de nome de usuário são considerados “aposentados” e não podem ser usados por outros. A combinação do nome de usuário e do nome do repositório também é considerada “aposentada”.

No entanto, a medida de segurança acabou sendo facilmente contornada. A Checkmarx identificou mais de 4.000 pacotes em gerenciadores de pacotes que usavam nomes de usuário renomeados, colocando-os em risco de sequestro.

Como o Ataque Funciona

A Checkmarx delineou as etapas envolvidas no ataque RepoJacking:

1. A vítima possui o namespace “victim_user/repo.”
2. A vítima renomeia “victim_user” para “renamed_user.”
3. O repositório “victim_user/repo” se torna aposentado.
4. Um atacante com o nome de usuário “attacker_user” simultaneamente cria um repositório chamado “repo” e renomeia o nome de usuário “attacker_user” para “victim_user.”

Isso é alcançado por meio de uma solicitação de API para criação de repositório e uma interceptação de solicitação de renomeação para a alteração de nome de usuário.

Vulnerabilidades Persistentes

Esta descoberta mostra os riscos contínuos associados ao mecanismo de “aposentadoria de namespace de repositório popular” do GitHub. Muitos usuários do GitHub, incluindo aqueles que controlam repositórios e pacotes populares, escolhem usar o recurso “Renomear usuário” oferecido pelo GitHub. Isso torna a burla da “Aposentadoria de namespace de repositório popular” um alvo atraente para atacantes de cadeia de suprimentos.

GitHub Toma Ação Decisiva

O GitHub abordou o problema a partir de 1º de setembro de 2023, após divulgação responsável pela Checkmarx. Diante dessa vulnerabilidade, é aconselhável que os usuários evitem usar namespaces aposentados para minimizar a superfície de ataque. Além disso, recomenda-se auditorias de código completas para garantir que não haja dependências que possam levar ao sequestro de repositórios.

A vulnerabilidade do GitHub descoberta pela Checkmarx mostra as ameaças persistentes aos projetos de código aberto. Os usuários precisam permanecer vigilantes à medida que os métodos de ataque continuam a evoluir.