En bref
Que s'est-il passé ?
L'action GitHub populaire actions-cool/issues-helper est compromise : tous les tags sont déplacés vers un commit imposteur absent de l'historique normal, qui exfiltre les credentials des pipelines.
Le commit piégé télécharge Bun sur le runner, lit la mémoire du processus Runner.Worker (qui détient les secrets déchiffrés) et exfiltre vers t.m-kosche.com. Seuls les workflows épinglés par SHA complet sont épargnés.
Toute exécution de l'action par tag tire le code malveillant. Une seconde action de la même organisation (maintain-one-comment) est compromise par le même acteur avec le même schéma (motif identique à AntV).
Épingler les actions par SHA de commit (jamais par tag), filtrer l'egress des runners, réduire les permissions et secrets exposés aux workflows, et détecter la lecture de mémoire du runner.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Épingler les actions par SHA ; jetons CI scopés et courts ; allowlist et revue des actions tierces.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 25 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :