Riesgo de Ataque a la Cadena de Suministro de GitHub CodeQL: Un Fallo de 1,022 Segundos
2025-03-30
Un investigador descubrió un secreto expuesto públicamente en GitHub CodeQL, con una duración de solo 1,022 segundos, que podría haber provocado un devastador ataque a la cadena de suministro. En ese breve período, un atacante podría obtener acceso completo de escritura a los flujos de trabajo de CodeQL, robando el código fuente de repositorios privados, secretos de GitHub Actions e incluso ejecutando código en la infraestructura interna. Críticamente, los atacantes podrían modificar la etiqueta de versión utilizada por el flujo de trabajo CodeQL predeterminado, afectando a todos los repositorios que utilizan CodeQL. La vulnerabilidad se ha corregido, pero destaca la importancia crítica de la seguridad de CI/CD.
Tecnología
seguridad CI/CD