Was ist passiert?
Eine kritische Sicherheitslücke namens „GitLost“ wurde in GitHubs Agentic Workflows entdeckt. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, über ein öffentliches Repository eine GitHub Issue zu erstellen und damit unerlaubt auf private Repositories zuzugreifen. Dadurch können sensible Daten wie API-Keys, Credentials und Quellcode abgezogen werden, ohne dass der Zugriff bemerkt wird.
Hintergrund & Bedeutung
GitHub Workflows sind Automatisierungsfunktionen, die CI/CD-Prozesse vereinfachen. Die anfällige Funktion erlaubt es, dass Workflows mit erhöhten Privilegien ausgeführt werden. Ein Angreifer kann diese Mechanik missbrauchen, indem er in einer öffentlichen Repository eine Issue erstellt, die automatisierte Workflows triggert. Diese Workflows können dann auf den gesamten Kontext der Organisation, einschließlich privater Repositories, zugreifen. Das Risiko ist besonders hoch für Organisationen, die sensible Daten in privaten Repos speichern und gleichzeitig öffentliche Repositories mit Issue-Funktionalität bereitstellen.
Empfehlungen fuer IT-Teams
Sofortmaßnahmen:
- GitHub Workflows überprüfen und unnötige Berechtigungen einschränken
- Secrets und Credentials aus Workflows entfernen oder verschlüsseln
- Issue-Funktionalität in öffentlichen Repos deaktivieren oder einschränken
- Access-Logs prüfen auf verdächtige Workflow-Ausführungen
- GitHub Security Advisory befolgen und Updates einspielen
Fazit
GitLost zeigt erneut, wie wichtig das Prinzip der Least Privilege in CI/CD-Umgebungen ist. Organisationen sollten ihre Automation dringend überprüfen und Zugriffskontroll-Richtlinien verschärfen, um Datenlecks zu vermeiden.
Quelle: Original Artikel