GitHub подвергся атаке на цепочку поставок

Недавняя атака на цепочку поставок по tj-actions/changed-files на GitHub затронула 218 репозиториев из 23 тысяч, использующих его. Из этих 218 по следам атаки утекли секреты.

Несмотря на небольшое число, утечка может иметь серьёзные последствия, так как у некоторых из реп крупная пользовательская база — среди затронутых есть мастодонты на 350 тысяч звёзд и 63 тысячи форков. Иными словами, их компрометация может аукнуться сообществу в формате масштабной цепной атаки на цепочку поставок. Особенно с учётом того, что из части реп утекли данные доступа от DockerHub, npm и AWS. Так что остаётся надеяться, что владельцы затронутых репозиториев оперативно сменят утёкшие секреты. В цепочке компрометации tj-actions/changed-files и так уже две атаки, а это на две больше, чем хотелось бы. Подробнее о том, как взломали changed-files здесь.