GitHub CodeQL-Supply-Chain-Angriffrisiko: Ein 1,022-Sekunden-Fehler

Ein Forscher hat ein öffentlich sichtbares Geheimnis in GitHub CodeQL entdeckt, das nur 1,022 Sekunden bestand, aber einen verheerenden Supply-Chain-Angriff hätte auslösen können. Innerhalb dieses kurzen Zeitraums hätte ein Angreifer vollständigen Schreibzugriff auf CodeQL-Workflows erhalten, den Quellcode privater Repositorys gestohlen, GitHub Actions-Geheimnisse entwendet und sogar Code auf der internen Infrastruktur ausgeführt. Besonders kritisch ist, dass Angreifer die Versionsbezeichnung ändern könnten, die vom Standard-CodeQL-Workflow verwendet wird, wodurch alle Repositorys betroffen wären, die CodeQL verwenden. Die Schwachstelle wurde behoben, unterstreicht aber die kritische Bedeutung der CI/CD-Sicherheit.