هشدار CISA درباره بهره‌برداری فعال از آسیب‌پذیری زنجیره تأمین GitHub Action

آژانس امنیت سایبری و امنیت زیرساخت‌های آمریکا (CISA) روز سه‌شنبه آسیب‌پذیری مرتبط با حمله زنجیره تأمین (supply chain) به GitHub Action با نام tj-actions/changed-files را به فهرست آسیب‌پذیری‌های شناخته شده و سوءاستفاده شده (KEV) خود اضافه کرد. این نقص امنیتی با شدت بالا که با شناسه CVE-2025-30066 و امتیاز CVSS برابر ۸.۶ ثبت شده، شامل نفوذ به GitHub Action برای تزریق کد مخرب است که به مهاجمان از راه دور امکان دسترسی به داده‌های حساس از طریق گزارش‌های اقدامات (actions logs) را می‌دهد. بر اساس هشدار CISA، این آسیب‌پذیری می‌تواند منجر به افشای اسرار مختلفی شامل کلیدهای دسترسی معتبر AWS، توکن‌های دسترسی شخصی GitHub، توکن‌های npm و کلیدهای خصوصی RSA شود.

شرکت امنیت ابری Wiz مشخص کرده که این حمله احتمالاً نمونه‌ای از حمله زنجیره‌ای زنجیره تأمین بوده که در آن مهاجمان ناشناس ابتدا reviewdog/action-setup@v1 GitHub Action را مورد حمله قرار داده و سپس به tj-actions/changed-files نفوذ کرده‌اند. حمله در ۱۱ مارس ۲۰۲۵ رخ داده و نفوذ به tj-actions/changed-files قبل از ۱۴ مارس اتفاق افتاده است. نگهدارندگان tj-actions اعلام کرده‌اند که حمله نتیجه سازش یک توکن دسترسی شخصی GitHub (PAT) بوده که به مهاجمان امکان تغییر مخزن با کد غیرمجاز را داده است. کاربران متأثر و آژانس‌های فدرال توصیه می‌شوند تا ۴ آوریل ۲۰۲۵ به آخرین نسخه tj-actions/changed-files (46.0.1) به‌روزرسانی کنند و همچنین گردش کارهای گذشته را برای فعالیت‌های مشکوک بررسی کرده، اسرار افشا شده را تغییر دهند و تمام GitHub Actions را به هش‌های commit مشخص به جای برچسب‌های نسخه متصل کنند.