Millones de repositorios de GitHub vulnerables a RepoJacking: informe
millones de GitHub Los repositorios son potencialmente vulnerables a RepoJacking, que permite a los atacantes ejecutar código en los entornos internos de las organizaciones o en los entornos de sus clientes, según un estudio de AquaSec.
AquaSec analizó una muestra de 1,25 millones de repositorios de GitHub y descubrió que aproximadamente el 2,95 % eran vulnerables a RepoJacking, incluidos los repositorios de empresas como Google y Lyft.
¿Qué es RepoJacking?
En GitHub, las organizaciones tienen nombres de usuario y nombres de repositorio. En casos como un cambio de administración o una nueva marca, etc., la organización puede cambiar el nombre de usuario o el nombre del repositorio en GitHub. También se crea una redirección para evitar romper dependencias para proyectos que usan código de repositorios cuyos nombres han sido cambiados. Sin embargo, si alguien vuelve a registrar el nombre anterior, esa redirección dejará de ser válida.
Un ataque en el que el atacante registra un nombre de usuario y crea un repositorio que ha sido utilizado por una organización en el pasado pero ha cambiado de nombre se llama RepoJacking.
Esto hace que cualquier proyecto o código que dependa de las dependencias del proyecto atacado extraiga dependencias y código del repositorio controlado por el atacante, que podría contener lo siguiente malware.
GitHub tiene algunas restricciones para evitar que el atacante abra el antiguo nombre del repositorio. «Sin embargo, solo se aplican a los repositorios populares que eran populares antes del cambio de nombre, y recientemente los investigadores han encontrado muchas soluciones para estas restricciones, lo que permite a los atacantes abrir cualquier repositorio que deseen», dijo AquaSec.
Las tácticas de investigación de AquaSec
AquaSec descargó todos los registros de GHTorrent, un sitio web que proporciona el historial completo de registros de los repositorios de GitHub, para junio de 2019 y compiló una lista de 125 millones de nombres de repositorios únicos. Luego examinaron el 1 % (1,25 millones de nombres de repositorios) y verificaron cada uno para ver si era vulnerable a RepoJacking.
“¡Encontramos que 36,983 repositorios eran vulnerables a RepoJacking! Eso equivale a una tasa de éxito del 2,95%, dijo AquaSec.
Explotación potencial debido a la vulnerabilidad RepoJacking
AquaSec señaló que empresas como Google y Lyft tenían repositorios vulnerables y explicó cómo podrían explotarse.
Para Google, AquaSec descubrió que un archivo Léame con instrucciones para crear un proyecto llamado Mathsteps apuntaba a un repositorio de GitHub propiedad de Socratic, una empresa que Google adquirió en 2018 y que ya no existe.
La vulnerabilidad podría permitir que un atacante clone este repositorio para romper la redirección. Esto puede llevar a que los usuarios accedan a un archivo que contiene código malicioso inyectado por el atacante, lo que podría permitirle lograr la ejecución de código arbitrario en los dispositivos de usuarios desprevenidos.
Para Lyft, AquaSec encontró un script de instalación en el repositorio de la empresa que extrae un archivo ZIP de otro repositorio que era vulnerable a RepoJacking. Esto significaba que los atacantes podían inyectar automáticamente su código malicioso en cualquier secuencia de comandos de instalación de Lyft.
Tanto Google como Lyft han solucionado el problema.
Asegurar los repositorios
AquaSec recomienda a las organizaciones que revisen periódicamente sus repositorios en busca de enlaces que puedan extraer recursos de repositorios externos de GitHub, ya que las referencias a proyectos como el módulo Go pueden cambiar de nombre en cualquier momento.
«Si cambia el nombre de su organización, asegúrese de seguir teniendo el nombre anterior, incluso como comodín, para evitar que los atacantes lo creen», dijo AquaSec.
Los investigadores advierten que las organizaciones que no han analizado también podrían ser vulnerables. «Es importante tener en cuenta que nuestro análisis solo cubrió una fracción de los datos disponibles, lo que significa que hay muchas más organizaciones en riesgo, posiblemente la suya también», dijo AquaSec.
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Llegarás a la noticia original en el siguiente enlace: https://www.csoonline.com/article/3700849/millions-of-github-repositories-vulnerable-to-repojacking-report.html#tk.rss_news
