Pesquisadores da empresa de segurança Novee Security identificaram uma vulnerabilidade em sistemas de integração contínua e entrega contínua (CI/CD) que permite a qualquer pessoa com uma conta gratuita assumir o controle de repositórios de código de grandes organizações.
A falha, batizada de Cordyceps, afeta dezenas de empresas, incluindo Microsoft, Google, Apache e Cloudflare. A descoberta foi divulgada após a análise de cerca de 30 mil repositórios de alto impacto. Mais de 300 deles estavam completamente vulneráveis.
smart_display
Nossos vídeos em destaque
O que são pipelines CI/CD
Pipelines CI/CD são sistemas automatizados que testam, constroem e publicam software sempre que um desenvolvedor propõe uma mudança no código. Basicamente, eles garantem que nenhuma atualização quebrada chegue aos usuários finais.
O problema identificado pelos pesquisadores está na forma como esses sistemas lidam com propostas de mudança feitas por contribuidores externos. Qualquer pessoa pode enviar uma sugestão de alteração de código para um projeto aberto, algo chamado de pull request. O perigo é que, em muitos projetos, esse tipo de contribuição aciona automaticamente o pipeline com permissões elevadas.
Isso significa que um atacante sem qualquer vínculo com a organização consegue injetar comandos maliciosos no processo de construção do software. Com isso, pode roubar credenciais, executar código arbitrário ou assumir o controle total do repositório.
Como o ‘Cordyceps’ funciona na prática
A Novee encontrou exemplos concretos nas maiores empresas de tecnologia do mundo.
No caso da Microsoft, um comentário em um pull request do repositório Azure Sentinel era suficiente para executar código de um atacante anônimo nos servidores da empresa. O ataque também permitia roubar uma chave de acesso permanente ao GitHub.
)
No Google, uma contribuição de código no repositório do AI Agent Development Kit poderia dar ao atacante controle total sobre um repositório no Google Cloud. O processo todo passava pelo ambiente de construção do Google, sem que nenhuma interação de um funcionário fosse necessária.
No caso do Apache Doris, dois caminhos distintos levavam ao mesmo resultado. Um simples comentário em qualquer proposta de código ou uma contribuição feita por um repositório externo eram suficientes para vazar credenciais de acesso ou tokens com permissão de escrita total no projeto.
Na Cloudflare, um pull request com um nome de branch especialmente elaborado conseguia executar comandos arbitrários nos servidores de CI da empresa. No projeto Black, mantido pela Python Software Foundation, qualquer pessoa poderia enviar uma proposta de código, executar comandos nos sistemas de construção e roubar o token de automação, que por sua vez permite aprovar outras propostas de código.
O que torna esse problema difícil de detectar
Segundo a Novee, a falha não está em um componente específico quebrado. Cada parte do sistema funciona como o esperado. O problema está na combinação entre elas, porque dados não confiáveis cruzam uma fronteira de segurança que nunca foi revisada adequadamente.
Isso faz com que scanners automáticos de vulnerabilidades não identifiquem o problema. A verificação exige que alguém analise a composição do sistema como um todo, não cada peça individualmente.
O risco vai além das empresas afetadas
Elad Meged, engenheiro e pesquisador da Novee, alertou que ferramentas de programação assistidas por inteligência artificial estão reproduzindo esses padrões vulneráveis em alta velocidade. Isso porque o código gerado por essas ferramentas tende a replicar configurações comuns encontradas em repositórios públicos, incluindo as que contêm a falha.
Na prática, um atacante que explorar essa brecha não compromete apenas a organização alvo. Ele ganha acesso à cadeia de fornecimento de software, o que pode afetar todos os usuários e produtos que dependem do código comprometido.
)
Após notificação responsável, Microsoft e Google confirmaram o impacto. Cloudflare, Python Software Foundation e Apache já aplicaram correções e endureceram suas configurações.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.
