Was ist passiert?
Sicherheitsforscher der Firma Novee Security haben eine kritische Schwachstellenklasse in CI/CD-Workflows entdeckt, die unter dem Namen „Cordyceps“ bekannt ist. Diese Sicherheitslücken ermöglichen es Angreifern, GitHub-Workflows zu kapern und damit die gesamte Software-Supply-Chain zu kompromittieren. Über 300 GitHub-Repositories großer Organisationen wie Microsoft, Google und Apache sind potenziell betroffen.
Hintergrund & Bedeutung
CI/CD-Pipelines (Continuous Integration/Continuous Deployment) sind das Herzstück moderner Softwareentwicklung. Die Cordyceps-Schwachstellen nutzen Fehler in Workflow-Konfigurationen aus, die es Angreifern ermöglichen, vollständige Kontrolle über Repositories zu erlangen. Dies ist besonders kritisch, da kompromittierte Repositories als Einfallstor für Supply-Chain-Attacks dienen können. Malware oder manipulierter Code könnte so in Millionen von Anwendungen gelangen, die diese Bibliotheken nutzen.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Überprüfen Sie Ihre GitHub-Workflows auf verdächtige oder unnötige Berechtigungen
- Implementieren Sie das Principle of Least Privilege für Workflow-Permissions
- Aktivieren Sie Branch Protection Rules und erfordern Sie Code-Reviews vor Merges
- Nutzen Sie CODEOWNERS-Dateien zur Kontrolle von Zugriffsvergaben
- Monitoren Sie Änderungen an kritischen Workflows kontinuierlich
- Aktualisieren Sie Ihre Actions auf aktuelle Versionen
Fazit
Die Cordyceps-Schwachstellen verdeutlichen die wachsende Kritikalität von CI/CD-Sicherheit. Organisationen sollten ihre Workflows umgehend überprüfen und strikte Sicherheitsrichtlinien implementieren, um Supply-Chain-Attacks zu verhindern.
Quelle: Original Artikel