Risque d'attaque de la chaîne d'approvisionnement de GitHub CodeQL : une faille de 1,022 secondes

Un chercheur a découvert un secret exposé publiquement dans GitHub CodeQL, d'une durée de seulement 1,022 secondes, qui aurait pu entraîner une attaque dévastatrice de la chaîne d'approvisionnement. Pendant cette courte période, un attaquant aurait pu obtenir un accès complet en écriture aux flux de travail de CodeQL, voler le code source des référentiels privés, les secrets de GitHub Actions et même exécuter du code sur l'infrastructure interne. Plus grave encore, les attaquants auraient pu modifier l'étiquette de version utilisée par le flux de travail CodeQL par défaut, affectant tous les référentiels utilisant CodeQL. La vulnérabilité a été corrigée, mais elle souligne l'importance critique de la sécurité CI/CD.