Avaliação de impacto aumentando
Os desenvolvedores de ações da TJ haviam relatado anteriormente que não podiam determinar exatamente como os atacantes obtiveram acesso ao seu token de acesso pessoal do GitHub. Essa nova descoberta do Wiz fornece o link que faltava, sugerindo que o compromisso inicial do Dog Dog foi o primeiro dominó nesta cadeia de ataques em cascata.
Além do compromisso confirmado do ReviewDog/Action-setup@V1, a investigação revelou várias outras ações potencialmente impactadas do mesmo desenvolvedor. Isso inclui ReviewDog/Action-ShellCheck, ReviewDog/Action-Composite-Template, ReviewDog/Action-StaticCheck, ReviewDog/Action-Aast-Grep e ReviewDog/Action-Typos. A extensão total do compromisso nessas ferramentas permanece sob investigação.
Embora os mantenedores do GitHub e do revisão tenham implementado correções, o WIZ alerta que, se alguma ação comprometida permanecer em uso, um ataque repetido direcionado a “Ações TJ/arquivos alterados” ainda poderá ocorrer-especialmente se os segredos expostos não forem girados.
