مايكروسوفت وجوجل تصحّحان ثغرات مع انتشار فطر الكورديسيبس عبر مستودعات مفتوحة المصدر
- اكتشف باحثو الأمن في Novee أكثر من 300 سلسلة CI/CD قابلة للاستغلال عبر مستودعات تابعة لمايكروسوفت وجوجل وأباتشي وكلودفلير ومؤسسة البرمجيات بايثون.
- سمحت الثغرات بسرقة بيانات الاعتماد، وحقن الأكواد، والاختراق عبر سلسلة التوريد نتيجة فجوات بين ملفات سير عمل GitHub Actions.
- تم إصلاح جميع الثغرات المُبلغ عنها، لكن وكالات البرمجة بالذكاء الاصطناعي تعيد إنتاج الأنماط غير الآمنة نفسها عبر ملايين المستودعات.
كشفت شركة الأمن السيبراني Novee عن الكورديسيبيس كفئة من الثغرات القابلة للاستغلال في خطوط أنابيب CI/CD عبر مستودعات مفتوحة المصدر، سمحت للمهاجمين بسرقة بيانات الاعتماد، ودفع أكواد خبيثة، وتعطيل العمليات في بعض أكبر المؤسسات البرمجية في العالم.
تم العثور على هذه الثغرات عبر مستودعات تابعة لمايكروسوفت وجوجل وأباتشي وكلودفلير ومؤسسة البرمجيات بايثون، والتي زعمت الشركات أيضاً أنها أصلحتها.
ما هي ثغرة الكورديسيبس؟
كشفت شركة الأمن السيبراني Novee عن فئة خطيرة جديدة من الثغرات في خطوط أنابيب CI/CD تشير إليها باسم "الكورديسيبس". يأتي اسم "الكورديسيبس" من فطر طفيلي يستضيف مضيفه، حيث يسمح هذا العيب لأي شخص لديه حساب مجاني على GitHub بالسيطرة على مشاريع مفتوحة المصدر شهيرة.
تم اكتشاف الثغرات عبر مستودعات تابعة لمايكروسوفت وجوجل وأباتشي وكلودفلير ومؤسسة البرمجيات بايثون. كشفت عملية فحص واحدة لـ 30,000 مستودع عن 300 سلسلة هجوم قابلة للاستغلال بالكامل.
يمكن للمهاجمين سرقة بيانات الاعتماد، وإحقان أكواد خبيثة، وتعطيل سلاسل إمداد البرمجيات من خلال هذه الثغرات. تم إصلاح المشكلات، لكن الباحثين يحذرون من أن مساعدي البرمجة بالذكاء الاصطناعي سيستمرون في إعادة إنتاجها عبر ملايين المستودعات.
تعامل سير عمل GitHub Actions مهاماً مهمة مثل تشغيل الاختبارات، وبناء البرمجيات، ونشر الإصدارات، لكنها غالباً ما تُعامل كملفات تكوين بسيطة بدلاً من كونها أكواداً حرجة من الناحية الأمنية.
تبدأ سلسلة الهجوم عادةً عندما يقدم شخص خارجي، يمكن أن يكون أي شخص لديه حساب مجاني على GitHub، طلب سحب (pull request) أو يترك تعليقاً على مستودع عام. ثم يتم تفعيل سير عمل منخفض الصلاحيات يقبل مدخلات الشخص الخارجي كما لو كانت بيانات موثوقة.
من هناك، تتدفق المخرجات إلى سير عمل ثانٍ يعمل بصلاحيات مرتفعة. قد يحتوي هذا السير العمل الثاني على رموز مصادقة لمزود السحابة، أو بيانات اعتماد سجل الحزم، أو مفاتيح التوقيع. وفي هذه النقطة، يمكن للمهاجم إما سرقة الرموز غير المنتهية الصلاحية أو تعطيل المستودع بشكل دائم.
وفقاً لباحثي الأمن، يمكن لكل خطوة فردية في هذه السلاسل أن تمر بمراجعة أمنية بنجاح بمفردها. تظهر الثغرة فقط عندما يتتبع شخص مسار البيانات غير الموثوقة عبر التسلسل الكامل لتسليمات سير العمل.
أي الشركات الكبرى تأثرت بالثغرة؟
وجدت Novee وأبلغت عن ثغرات مؤكدة في بعض أكبر المؤسسات التكنولوجية في العالم.
على سبيل المثال، احتوى Azure Sentinel التابع لمايكروسوفت على تعليق في طلب سحب يمكن أن يشغل كود المهاجم على بنية CI الخاصة بمايكروسوفت ويسرق مفتاح GitHub App غير المنتهي الصلاحية. كان هذا المفتاح سيمنح وصولاً كتابياً دائماً لمحتوى الكشف عن الأمن الذي توزعه مايكروسوفت على مساحات عمل Sentinel للعملاء.
كان لمستودع Google’s AI Agent Development Kit، الذي يحتوي على أكثر من 9,200 نجمة على GitHub، عيباً حيث يمكن لطلب سحب واحد أن يمنح المهاجم أعلى مستوى من الصلاحيات (roles/owner) على مشروع Google Cloud المرتبط.
في قاعدة بيانات Apache’s Doris Analytics، وجد الباحثون مسارين لهجوم بدون نقر. سمح أحدهما بتعليق على أي طلب سحب لسرقة بيانات اعتماد CI الثابتة، بينما سمح الآخر لطلب سحب من مستودع مشتق بسرقة رمز بصلاحيات كتابة كاملة عبر الكود، والحزم، والصفحات.
كان Workers SDK التابع لـ Cloudflare، المبنى حول مجموعة أدوات Wrangler CLI، عرضة لتنفيذ أوامر عشوائية يتم تشغيلها بواسطة اسم فرع مصمم خصيصاً.
كان لمُشكّل الكود Black التابع لمؤسسة البرمجيات بايثون، والذي يحتوي على أكثر من 130 مليون تحميل، عيباً حيث يمكن لأي طلب سحب سرقة رمز بوت الأتمتة الخاص بالمشروع، والذي يمكنه بعد ذلك الموافقة على طلبات سحب إضافية.
أكدت Novee لـ Dark Reading أنه لم يتم استغلال أي من أنماط سير العمل هذه قبل تطبيق التصحيحات.
ينصح Meged مديري الأمن السيبراني (CISOs) بمعاملة ملفات سير عمل CI/CD كـ أكواد حرجة من الناحية الأمنية.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
الأسئلة الشائعة
ما هو Cordyceps في سياق أمن المعلومات؟
Cordyceps هو الاسم الذي أطلقته Novee Security على فئة من ثغرات سير عمل CI/CD حيث يعبر مدخل غير موثوق (مثل طلب السحب أو تعليق) حدود الثقة بين ملفات سير عمل GitHub Actions، مما يسمح للمهاجمين بسرقة بيانات الاعتماد أو حقن الكود باستخدام حساب GitHub مجاني فقط.
هل تم استغلال أي من ثغرات Cordyceps قبل إصلاحها؟
أكدت Novee لـ Dark Reading أن أنماط سير العمل المُبلغ عنها لم تُستغل قبل تطبيق الإصلاحات، ولا توجد أدلة على أن مهاجمًا ما استخدم النمط على نطاق واسع.
أي المؤسسات تأثرت بـ Cordyceps؟
أثبتت Novee سلاسل هجمات قابلة للاستغلال في مستودعات تابعة لـ Microsoft (Azure Sentinel) وGoogle (مجموعة تطوير وكلاء الذكاء الاصطناعي) وApache (Doris) وCloudflare (Workers SDK) ومؤسسة البرمجيات Python (Black formatter)، وقد طبقت جميعها الإصلاحات منذ ذلك الحين.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
