MÜNCHEN (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in einem weit verbreiteten GitHub Action hat die Software-Entwicklungslandschaft erschüttert. Die Schwachstelle, die in der GitHub Action ‘tj-actions/changed-files’ gefunden wurde, betrifft über 23.000 Repositories und ermöglicht es Angreifern, sensible Informationen wie Passwörter und Tokens aus den Action-Logs zu extrahieren.
Die Sicherheitslücke in der GitHub Action ‘tj-actions/changed-files’ hat die Aufmerksamkeit der Entwicklergemeinschaft auf sich gezogen. Diese Action, die in über 23.000 Repositories eingesetzt wird, ermöglicht es, geänderte Dateien in Pull-Requests oder Commits zu identifizieren und darauf basierend Prozesse wie Tests oder Deployments auszulösen. Diese Funktionalität ist entscheidend für die Effizienz von CI/CD-Pipelines.
Die Schwachstelle, die als CVE-2025-30066 identifiziert wurde, betrifft alle Versionen der kompromittierten Action. Sie ermöglicht es Angreifern, durch das Auslesen von Action-Logs an geheime Informationen zu gelangen. Besonders problematisch ist, dass diese Informationen in vielen Fällen öffentlich zugänglich gemacht wurden, was unbefugten Zugriff auf kritische Systeme und interne Dienste ermöglicht.
Der Angriff begann mit einem bösartigen Commit, der als Routine-Update getarnt war und am 14. März eingeführt wurde. Alle Action-Tags wurden auf diesen kompromittierten Commit umgeleitet, wodurch zahlreiche Repositories gefährdet wurden. Die Community entdeckte bald darauf verdächtige Aktivitäten, die darauf hindeuteten, dass die Action Umgebungsvariablen und Geheimnisse exfiltrierte.
Etwa zwölf Stunden nach der Entdeckung wurde das Repository offline genommen, um weitere Downloads der kompromittierten Version zu verhindern. Zwei Tage später wurde das Repository nach Entfernung des bösartigen Commits wieder aktiviert. Zu diesem Zeitpunkt waren jedoch bereits schätzungsweise 23.000 Repositories betroffen.
Die Maintainer von ‘tj-actions’ gaben an, dass ein Angreifer ein GitHub Personal Access Token (PAT) kompromittiert hatte, das von einem Bot mit Zugriff auf das Repository verwendet wurde. GitHub reagierte, indem es die kompromittierte Action entfernte, was jedoch potenzielle Unterbrechungen in CI-Pipelines verursachte, insbesondere für Nutzer, die auf nicht zwischengespeicherte Versionen angewiesen waren.
Endor Labs veröffentlichte einen Blogbeitrag mit spezifischen Anleitungen zur Minderung der Auswirkungen. Kunden wurden angewiesen, ihre Abhängigkeiten nach ‘tj-actions/changed-files’ zu durchsuchen und GitHub-Logs auf verdächtige IP-Adressen zu überprüfen. Auch das Rotieren aktiver Geheimnisse wurde empfohlen.
Der Hauptzweck der Angreifer bestand wahrscheinlich darin, die Software-Lieferkette zu kompromittieren, indem sie Open-Source-Bibliotheken, Binärdateien und Artefakte ins Visier nahmen, die von den betroffenen CI-Pipelines generiert wurden. Dimitri Stiliadis, CTO und Mitbegründer von Endor Labs, erklärte, dass die Angreifer wahrscheinlich nicht nach Geheimnissen in öffentlichen Repositories suchten, sondern die Software-Lieferkette anderer Open-Source-Bibliotheken kompromittieren wollten.
Organisationen, die Endor Labs nicht nutzen, wurden ebenfalls aufgefordert, sofortige Maßnahmen zu ergreifen. Dazu gehörte die Überprüfung von GitHub Actions-Workflows auf die kompromittierte Action, deren Entfernung aus allen Branches, die Überprüfung vergangener CI-Workflows auf Anzeichen einer Kompromittierung und das Rotieren aller exponierten Geheimnisse.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- Service Directory für AI Adult Services erkunden!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
Logistik Performance Manager (d/m/w) Schwerpunkt IT & KI
KI-Berater für Enterprise GPT und Microsoft Copilot (m/w/d)
Intern (m/f/d) for AI and Data Analysis in Vehicle Lab
Senior Sales Manager m/w/d Customer Service & Conversational AI
- Die Zukunft von Mensch und MaschineIm neuen Buch des renommierten Zukunftsforschers und Technologie-Visionärs Ray Kurzweil wird eine faszinierende Vision der kommenden Jahre und Jahrzehnte entworfen – eine Welt, die von KI durchdrungen sein wird
- Künstliche Intelligenz: Expertenwissen gegen Hysterie Der renommierte Gehirnforscher, Psychiater und Bestseller-Autor Manfred Spitzer ist ein ausgewiesener Experte für neuronale Netze, auf denen KI aufbaut
- Obwohl Künstliche Intelligenz (KI) derzeit in aller Munde ist, setzen bislang nur wenige Unternehmen die Technologie wirklich erfolgreich ein
- Wie funktioniert Künstliche Intelligenz (KI) und gibt es Parallelen zum menschlichen Gehirn? Was sind die Gemeinsamkeiten von natürlicher und künstlicher Intelligenz, und was die Unterschiede? Ist das Gehirn nichts anderes als ein biologischer Computer? Was sind Neuronale Netze und wie kann der Begriff Deep Learning einfach erklärt werden?Seit der kognitiven Revolution Mitte des letzten Jahrhunderts sind KI und Hirnforschung eng miteinander verflochten
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sicherheitslücke in GitHub Actions: Tausende Repositories betroffen" für unsere Leser?
#Sophos
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sicherheitslücke in GitHub Actions: Tausende Repositories betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die deutsche Google-Suchmaschine für eine weitere Themenrecherche: »Sicherheitslücke in GitHub Actions: Tausende Repositories betroffen« bei Google Deutschland suchen und bei Google News recherchieren!