PyPI-Token-Exfiltration über kompromittierte GitHub Actions Workflows

Eine kürzlich durchgeführte Angriffskampagne zielte auf GitHub Actions Workflows ab, um PyPI-Veröffentlichungstoken zu stehlen. Angreifer modifizierten Workflows in verschiedenen Repositorys und schickten PyPI-Token, die als GitHub-Secrets gespeichert waren, an externe Server. Obwohl einige Token exfiltriert wurden, wurden sie nicht auf PyPI verwendet. Alle betroffenen Token wurden ungültig gemacht, und die betroffenen Maintainer wurden benachrichtigt. Es wird empfohlen, die Trusted Publishers von GitHub Actions zu verwenden, um zukünftige Angriffe zu mindern.