Vulnerabilidade em sistemas de integração e entrega contínua permitia executar código malicioso através de simples contribuições externas
Investigadores identificaram mais de 300 plataformas expostas, colocando em risco credenciais, tokens e toda a cadeia de fornecimento de software
Uma vulnerabilidade crítica em sistemas de integração e entrega contínua (CI/CD) permitiu que atacantes assumissem potencialmente o controlo de repositórios de código utilizados por grandes organizações, incluindo Microsoft, Google, Apache e Cloudflare. A falha, denominada Cordyceps pela Novee Security, foi identificada durante uma análise de cerca de 30.000 repositórios de elevado impacto.
Segundo os investigadores, mais de 300 plataformas apresentavam configurações suficientemente expostas para permitir a exploração. Em determinados casos, um atacante precisava apenas de uma conta gratuita para introduzir comandos através de pull requests, propostas de alteração de código normalmente utilizadas em projectos colaborativos.
O problema estava relacionado com a execução automática dos pipelines de CI/CD. Em alguns projectos, contribuições externas conseguiam desencadear processos com privilégios elevados, permitindo executar código arbitrário nos servidores responsáveis pela compilação e testes do software.
A partir desses ambientes, um atacante poderia tentar obter credenciais, chaves criptográficas e tokens de automação utilizados pelos projectos. O risco é particularmente elevado porque esses elementos podem conceder acesso a outros sistemas e permitir a alteração ou distribuição de código comprometido.
Entre os casos identificados pela Novee Security está um projecto da Microsoft relacionado com o Azure Sentinel, onde uma alteração introduzida num pull request poderia levar à execução de código nos servidores de CI e à extracção de uma chave de acesso persistente alojada no GitHub. Na Google, uma configuração semelhante num kit de desenvolvimento de agentes de inteligência artificial poderia proporcionar privilégios sobre repositórios na infraestrutura da empresa.
A investigação encontrou problemas semelhantes no Apache Doris, na Cloudflare e no projecto Black, mantido pela Python Software Foundation. Os investigadores alertam que estas vulnerabilidades são particularmente difíceis de detectar porque os componentes individuais podem parecer seguros, enquanto o problema surge da combinação entre sistemas que processam dados confiáveis e contribuições externas não confiáveis.
Outro aspecto destacado é a utilização crescente de ferramentas de programação assistidas por inteligência artificial. Segundo a Novee Security, configurações inseguras disponíveis publicamente podem ser reproduzidas por ferramentas de IA e incorporadas rapidamente em novos projectos, aumentando a velocidade de propagação de práticas vulneráveis.
Após os alertas dos investigadores, Microsoft e Google reconheceram os problemas, enquanto Cloudflare, Apache e a Python Software Foundation aplicaram correcções nos sistemas afectados. O episódio volta a colocar em evidência os riscos existentes na cadeia de fornecimento de software, onde uma falha numa etapa de desenvolvimento pode comprometer produtos e serviços utilizados por milhões de pessoas.
A ameaça mostra que um simples comentário num repositório pode transformar-se numa porta de entrada para sistemas empresariais inteiros — e que a automatização da programação também está a criar novos desafios de segurança.
