近期雲端安全公司Orca的研究顯示,GitHub Actions這個廣受開發者使用的CI/CD平台,也面臨著逾佔式攻擊(Typosquatting)的威脅。這種攻擊手法長期以來被駭客用來誘導使用者訪問惡意網站或下載含有惡意程式的軟體。在開源軟體領域,攻擊者更利用開發者的輸入錯誤,在PyPI、npm等平台上發動軟體供應鏈攻擊。如今,這種威脅已擴展到GitHub Actions,可能對眾多開發專案造成嚴重影響。
逾佔式攻擊的原理相當簡單:攻擊者註冊與知名服務或套件名稱相似的域名或套件名。在GitHub Actions的情境下,攻擊者可以輕易創建與熱門Action名稱相近的組織和倉庫。若開發者在設置workflow時不慎拼錯Action名稱,且該錯誤版本已被攻擊者搶先註冊,那麼workflow就會執行惡意Action而非原本預期的正常Action。
這種攻擊手法的危害不容小覷。惡意Action可能竊取敏感資訊、修改原始碼引入後門,甚至利用開發者的GitHub憑證向組織內其他倉庫推送惡意更改,造成更廣泛的損害。Orca的研究發現,GitHub上已有198個檔案錯誤引用了"action/checkout"或"actons/checkout",而非正確的"actions/checkout"。這些專案都面臨被攻擊的風險。
逾佔式攻擊對駭客來說極具吸引力,因為它成本低廉卻可能造成重大影響。一旦成功,攻擊者可以同時影響多個下游客戶,發動大規模的軟體供應鏈攻擊。這種攻擊手法的隱蔽性也很高,許多開發者可能在不知不覺中就落入了陷阱。
為了防範這種威脅,開發者應該採取以下措施:
1. 仔細檢查Action名稱,確保引用了正確的GitHub組織。
2. 盡量使用來自可信來源的Action。
3. 定期掃描CI/CD工作流程,檢查是否存在逾佔式攻擊的問題。
值得注意的是,Orca的研究僅針對公開倉庫進行。在私有倉庫中,同樣的拼寫錯誤可能導致更嚴重的安全漏洞,但這部分影響目前仍不得而知。這提醒我們,即使是在看似安全的私有環境中,也不能掉以輕心。
這項研究揭示了逾佔式攻擊在GitHub Actions中的潛在危害,以及防範此類攻擊的重要性。它再次強調了在軟體開發過程中保持警惕的必要性。隨著CI/CD工具在現代軟體開發中扮演越來越重要的角色,確保這些工具的安全性變得尤為關鍵。
展望未來,軟體開發社群需要共同努力,提高對此類威脅的認識,並開發更好的工具和實踐來檢測和預防逾佔式攻擊。同時,平台提供商如GitHub也應該考慮實施更嚴格的驗證機制,以減少惡意Action的傳播。只有通過持續的教育、警惕和技術創新,我們才能為開發者創造一個更安全的環境,確保軟體供應鏈的完整性。
詳情請看：
GitHub Actions Vulnerable to Typosquatting, Exposing Developers to Hidden Malicious Code
