PT-2025-11328
CVE-2025-30066
·
تاريخ النشر
2025-03-14
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
tj-actions/changed-files الإصدارات السابقة إلى 46.0.1
Description
استهدف هجوم على سلسلة التوريد GitHub Action المسمى tj-actions/changed-files، مما أثر على أكثر من 23,000 مستودع. قام مهاجم باختراق رمز الوصول الشخصي لحساب بوت لحقن كود خبيث في الإجراء. في الفترة ما بين 14 و 15 مارس 2025، قام المهاجم بتعديل علامات الإصدارات بأثر رجعي (بما في ذلك الإصدارات من v1 إلى v45.0.7) لتشير إلى الالتزام (commit) الخبيث
0e58ed8. تضمن هذا الالتزام دالة updateFeatures() التي قامت بتنفيذ حمولة Node.js مموهة. قامت هذه الحمولة بتحميل سكربت Python يسمى memdump.py من GitHub Gist، والذي قام بفحص ذاكرة عملية Runner Worker لاستخراج أسرار CI/CD حساسة، مثل مفاتيح وصول AWS، ورموز الوصول الشخصية (PATs) لـ GitHub، ورموز npm، ومفاتيح RSA الخاصة. بعد ذلك، تم ترميز هذه الأسرار مرتين بنظام base64 وطباعتها في سجلات بناء GitHub Actions، مما جعلها متاحة لأي شخص لديه صلاحية الوصول إلى السجلات، خاصة في المستودعات العامة.Recommendations
تحديث tj-actions/changed-files إلى الإصدار 46.0.1.
تغيير وتدوير جميع الأسرار ورموز API والمفاتيح الخاصة التي تم استخدامها في سير العمل بين 14 و 15 مارس 2025.
مراجعة سجلات سير العمل للفترة المتأثرة بحثًا عن سلاسل نصية مشبوهة مرمزة مرتين وفك ترميزها لتحديد بيانات الاعتماد المسربة.
تثبيت GitHub Actions على معرفات التزام (commit SHAs) محددة بدلاً من استخدام علامات الإصدارات لمنع اختراقات سلسلة التوريد المستقبلية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾