از آنجا که tj-actions/eslint-changed-files از آکشن reviewdog/action-setup استفاده می‌کند، اعتقاد بر این است که آکشن مصاحبه شده برای فاش کردن توکن دسترسی شخصی (Personal Access Token) tj-action و سرقت آن استفاده شد. Wiz توضیح می‌دهد: “ما معتقدیم که احتمالاً مصاحبه reviewdog/action-setup علت اصلی مصاحبه PAT مربوط به tj-actions-bot است.” علاوه بر reviewdog/action-setup@v1 که تأیید شده است، چندین آکشن دیگر نیز ممکن است تحت تأثیر قرار گرفته باشند. Wiz توصیه می‌کند پروژه‌های احتمالاً تحت تأثیر، کوئری گیت‌هاب مشخصی را اجرا کنند تا ارجاعات به reviewdog/action-setup@v1 را بررسی کرده و فوراً تمام ارجاعات به آکشن‌های آسیب‌دیده را حذف کرده و اسرار احتمالاً فاش شده را تغییر دهند.
کلمات کلیدی : supply chain attack, گیت‌هاب آکشن, امنیت سایبری, CI/CD اسرار, reviewdog action-setup, tj-actions changed-files
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.