⚠️ #Github の数百万のリポジトリが危険にさらされている可能性があります。
➥ セキュリティ研究者は、Cordyceps として知られる重大な脆弱性を発見し、Apache Software Foundation や Cloudflare などの大手企業のリポジトリを含む、数千のオープンソース・プロジェクトに影響していることが分かりました。ほかにも #Microsoft と #Google が含まれます。
➥ この脆弱性により攻撃者は CI/CD（継続的インテグレーション／継続的デリバリー）システムを標的にでき、次のような事態につながる可能性があります。
悪意のあるコードの実行。
認証情報や秘密鍵の窃取。
ビルド／デプロイ処理の改ざん。
ソフトウェアのサプライチェーン（Software #Supply #Chain ）に悪意のある更新を混入。
➥ 研究者は約 3 万の一般的なリポジトリを分析し、654 件のプロジェクトがこの脆弱性の影響を受ける可能性があることを見つけました。さらに、300 件超のプロジェクトで実際に悪用できることを確認できました。
➥ 問題の深刻さは、特定のファイルやライブラリに関連しているのではなく、CI/CD 環境内での複数の処理の相互作用によって生じる点にあります。そのため影響範囲は非常に広く、数百万のリポジトリに及ぶ可能性があります。
➥ 研究者によれば、この種の攻撃は、プロジェクト内に明確な悪意のあるコードが存在するからではなく、処理のシーケンスと実行メカニズムそのものから悪性挙動が発生するため、多くの従来型の保護ツールでは検知できない可能性があります。