آسیب‌پذیری‌های CI/CD کوردیسپس بیش از ۳۰۰ مخزن گیت‌هاب را در معرض حملات زنجیره تأمین قرار می‌دهد

محققان امنیت سایبری یک دسته جدید از آسیب‌پذیری‌های زنجیره تأمین نرم‌افزار (software supply chain) را شناسایی کرده‌اند که به مهاجمان اجازه می‌دهد گردش‌کارهای CI/CD را در مخازن کد سازمان‌های بزرگی همچون مایکروسافت، گوگل، آپاچی و کلودفلر تحت کنترل بگیرند. این الگوی آسیب‌پذیری که توسط شرکت Novee Security با نام رمز «Cordyceps» معرفی شده، از پیکربندی‌های ضعیف CI/CD ناشی می‌شود که به درخواست‌های ادغام کد (pull requests) دسترسی‌های بیش از حد اعطا می‌کنند. بررسی حدود ۳۰ هزار مخزن پرتأثیر نشان داد که بیش از ۳۰۰ مخزن به‌طور کامل قابل بهره‌برداری هستند و امکان اجرای کد مخرب، سرقت اعتبارنامه‌ها (credentials) و به خطر انداختن زنجیره تأمین را فراهم می‌کنند.

به گفته الاد مگد، مهندس مؤسس Novee Security، این آسیب‌پذیری توسط هر کاربر احراز هویت‌نشده‌ای قابل سوءاستفاده است و حتی یک حساب رایگان برای جعل تأییدیه‌ها، ارسال کد مخرب یا سرقت اعتبارنامه‌ها کافی است. در نمونه‌های مستند شده، مهاجم می‌توانست از طریق یک کامنت ساده در Azure Sentinel مایکروسافت، کلید دائمی GitHub App را به سرقت ببرد، یا در مخزن Google AI Agent Development Kit کنترل کامل یک مخزن Google Cloud را به دست آورد. پس از افشای مسئولانه (responsible disclosure)، مایکروسافت و گوگل تأثیر این آسیب‌پذیری را تأیید کردند، در حالی که کلودفلر، پایتون و آپاچی وصله‌های امنیتی لازم را اعمال کرده‌اند.