Исследователи компании Noma Security выявили уязвимость в GitHub, позволяющую злоумышленникам обманным путем заставить Agentic Workflows раскрывать содержимое частных репозиториев организаций. Для эксплуатации этой уязвимости атакующему достаточно создать обычную проблему в публичном репозитории, без необходимости использования украденных учетных данных или доступа к самой организации.

Если организация предоставила агенту доступ на чтение ко всем своим репозиториям, то это может привести к серьезным последствиям. Публичные проблемы могут быть использованы как вектор атаки, позволяя злоумышленникам извлекать информацию из частных репозиториев, что ставит под угрозу безопасность данных.

Специалисты подчеркивают, что данная уязвимость может затронуть множество организаций, использующих GitHub для управления своими проектами. Особенно это касается тех, кто не уделяет должного внимания настройкам доступа и безопасности своих репозиториев.

В Noma Security рекомендуют всем пользователям GitHub внимательно проверять настройки доступа и ограничения на чтение для своих репозиториев. Организациям следует рассмотреть возможность ограничения доступа для Agentic Workflows к частным данным, чтобы минимизировать риски утечек.

Данная ситуация подчеркивает важность соблюдения принципов безопасности и регулярного аудита систем, используемых для разработки программного обеспечения. Необходимо быть особенно внимательными к тому, как конфигурируются доступы и какие права предоставляются различным пользователям и сервисам.

GitHub уже уведомлен о выявленной уязвимости, и ожидается, что в ближайшее время будут предприняты меры для ее устранения. Пользователям рекомендуется следить за обновлениями и оперативно реагировать на изменения в политике безопасности платформы.

Источник новости:
The Hacker News

Читать полностью