绕过GitHub保护
研究人员进一步分析发现GitHub提出的应对保护措施可以被绕过。新的绕过方法使用了“Repository Transfer”特征,具体步骤如下:
“victim/repo”是受GitHub retirement保护的GitHub 库,
“helper_account”账户创建了repo库;
“helper_account”将repo库的所有权转给了“attacker_account”;
“attacker_account”将其用户名重命名为“victim”。
新的“victim”账号实际上就是之前的“attacker_account”,会接受所有权的转移。
victim/repo”就会被攻击者控制。
攻击者成功利用该漏洞可以控制主流的包管理器的代码包,包括“Packagist”、“Go”、“Swift”等。研究人员发现有超过1万个重命名的包受到该漏洞的影响。此外,攻击者利用该漏洞还可以发起供应链投毒攻击。
2021年11月8日,研究人员将GitHub命名空间退出特征绕过方法提交给了GitHub。2022年3月,GitHub回复称已修复该绕过。5月,研究人员发现该漏洞仍然是可利用的,5月25日,GitHub修复该问题。6月,研究人员发现了绕过GitHub命名空间退出特征保护机制的绕过方法,并报告给了GitHub。9月19日,GitHub修复该漏洞,并将该漏洞分类为高危。