Đang tải bảng tin…
BleepingComputer0 Hot0 bình luận6 phút đọc
The GitHub Actions Attack Pattern Your CI Security Scanners Miss
Researchers at Novee Security disclosed a CI/CD vulnerability class called Cordyceps, found in 300+ high-impact repositories including projects from Microsoft, Google, and Apache. The attack exploits how GitHub Actions workflows compose together — using pull_request_target and workflow_run triggers to escalate privileges across workflow boundaries — rather than any single malicious file. Traditional SAST/DAST scanners miss this because each individual workflow file is valid YAML; the exploit lives in the cross-workflow composition. Concrete mitigations include preferring pull_request over pull_request_target, pinning actions to commit SHAs, defaulting to read-only permissions, and passing event data through quoted env variables. The piece also warns that AI-generated CI/CD configs are accelerating the spread of these insecure patterns at a scale that manual review cannot keep up with.
Nguồn: https://www.bleepingcomputer.com/news/security/the-github-actions-attack-pattern-your-ci-security-scanners-miss. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
The Next Web1 Hot3 phútAI
ECB tells banks to plan for AI cyber threats
Ngân hàng trung ương châu Âu (ECB) yêu cầu các ngân hàng trong khu vực đồng euro phải nộp kế hoạch hành động đối phó các mối đe dọa an ninh mạng từ AI tiên tiến trước cuối tháng 10/2026. ECB lo ngại các mô hình AI như Anthropic's Claude Mythos có thể phát hiện lỗ hổng phần mềm và tạo ra exploit với tốc độ chưa từng có, đồng thời cảnh báo rủi ro hệ thống từ phụ thuộc vào nhà cung cấp AI ngoài EU.
Những lập trình viên làm việc trong lĩnh vực bảo mật mạng hoặc phát triển hệ thống quan trọng nên đọc bài này để hiểu rõ cách AI đang thay đổi cách tấn công và bảo vệ hệ thống, giúp họ chuẩn bị sớm ứng phó với các mối đe dọa mới từ các mô hình AI tiên tiến.
