Risco de Ataque de Cadeia de Suprimentos do GitHub CodeQL: Uma Falha de 1,022 Segundos

Um pesquisador descobriu um segredo exposto publicamente no GitHub CodeQL, com duração de apenas 1,022 segundos, que poderia ter levado a um devastador ataque de cadeia de suprimentos. Nesse curto período, um atacante poderia obter acesso completo de gravação aos fluxos de trabalho do CodeQL, roubando o código-fonte de repositórios privados, segredos do GitHub Actions e até mesmo executando código em infraestrutura interna. Criticamente, os atacantes poderiam modificar a tag de versão usada pelo fluxo de trabalho CodeQL padrão, afetando todos os repositórios que usam o CodeQL. A vulnerabilidade foi corrigida, mas destaca a importância crítica da segurança de CI/CD.