Ação conhecida do GitHub comprometida em ataque à cadeia de valor

Uma conhecida ação do GitHub Actions foi comprometida num ataque à cadeia de valor com implicações em mais de 23 mil repositórios.

A ação, designada de ‘tj-actions/changed-files’, está relacionada com a integração contínua e entrega contínua (CI/CD). No caso da primeira, fornece GitHub Actions para simplificar os processos de CI/CD; no caso da ação ‘Changed-files’, é pensada para rastrear alterações de arquivos e diretórios e é utilizada em milhares de repositórios.

A vulnerabilidade, rastreada como CVE-2025-30066, ocorreu a 14 de março e resultou na exposição da informação dos repositórios através do fluxo de trabalho de integração contínua e entrega contínua.

De acordo com a StepSecurity, empresa de segurança especializada em GitHub Actions, citada pela SecurityWeek, o incidente envolveu um agente de ameaça modificaram o código da ação – Changed-files – para executar um script Python malicioso pensado para divulgar segredos de CI/CD para criar registos.

Segundo a StepSecurity, qualquer pessoa poderá ler os logs e obter segredos expostos se os logs do fluxo de trabalho forem acessíveis publicamente. Ainda assim, a empresa de segurança afirma que não há evidências de que os segredos expostos tenham sido exfiltrados.

A Endor Labs rastreou igualmente o incidente, garantindo que “o agente de ameaça não estava provavelmente à procura de segredos em repositórios públicos, uma vez que já são públicos”, mas sim de “comprometer o supply chain de software para outras bibliotecas open-source, binários e artefactos criados a partir daqui”.

A mesma empresa relembra que o mesmo caso pode-se aplicar a organizações empresariais que possuem repositórios públicos e privados. “Se esses repositórios partilharem segredos de pipeline de CI/CD para registos de artefactos ou containers, esses registos podem ser potencialmente comprometidos”.

O GitHub procedeu já à remoção da ação tj-actions/changed-files e restaurou-a no mesmo dia após ter removido o commit maliciosos, assim como todas as tags. Os utilizadores do GitHub Action são aconselhados a atualizarem para a versão mais recente (46.0.1) o mais rápido possível. Os utilizadores são ainda aconselhados a reverem os fluxos de trabalho executados entre 14 e 5 de março.