PyPI توکن‌های سرقت شده در حمله زنجیره تأمین GhostAction را باطل کرد

تیم بنیاد نرم‌افزار پایتون (Python Software Foundation) تمامی توکن‌های PyPI که در حمله زنجیره تأمین GhostAction در اوایل سپتامبر سرقت شده بودند را باطل کرد و تأیید نمود که مهاجمان از این توکن‌ها برای انتشار بدافزار استفاده نکرده‌اند. این توکن‌ها برای انتشار بسته‌ها در فهرست بسته‌های پایتون (PyPI) استفاده می‌شوند که به عنوان منبع پیش‌فرض ابزارهای مدیریت بسته پایتون عمل کرده و میزبان صدها هزار بسته است. بر اساس گزارش GitGuardian، در این حمله بیش از ۳۳۰۰ رمز محرمانه شامل توکن‌های PyPI، npm، DockerHub، GitHub و Cloudflare، کلیدهای دسترسی AWS و اعتبارنامه‌های پایگاه داده سرقت شد.

مایک فیدلر، مدیر PyPI، توضیح داد که یک کارمند GitGuardian در ۵ سپتامبر گزارش کرد که گردش‌کارهای مخرب GitHub Actions تلاش می‌کنند توکن‌های PyPI را به سرور راه دور منتقل کنند. پس از کشف دامنه کامل حمله، GitGuardian مسائل GitHub را در بیش از ۵۷۰ مخزن آسیب‌دیده باز کرد و تیم‌های امنیتی GitHub، npm و PyPI را مطلع ساخت. در حالی که تیم PyPI هیچ مدرکی از به خطر افتادن مخازن PyPI نیافت، تمامی توکن‌های انتشار آسیب‌دیده را باطل کرد. فیدلر به نگهدارندگان بسته‌های PyPI که از GitHub Actions استفاده می‌کنند توصیه کرد تا توکن‌های طولانی‌مدت را با توکن‌های کوتاه‌مدت Trusted Publishers جایگزین کنند.