Introduzione
La Cybersecurity and Infrastructure Security Agency (CISA) ha emesso un avviso sulla presenza di campagne di attacchi alla catena di approvvigionamento software che colpiscono gli ecosistemi di sviluppo, inclusa la compromissione di GitHub attraverso un'estensione maliziosa di Nx Console per Visual Studio Code (VS Code). L'estensione maliziosa, versione 18.95.0, è stata distribuita attraverso il meccanismo di aggiornamento automatico di VS Code, il che significa che i sistemi con Nx Console precedentemente installati potrebbero aver ricevuto la build maliziosa senza che gli sviluppatori prendessero alcuna azione di installazione manuale.
La compromissione di GitHub
La compromissione di GitHub è stata possibile grazie alla compromissione preventiva dei sistemi di sviluppo Nx, che ha permesso agli attaccanti di accedere a un dispositivo di un dipendente GitHub attraverso un'estensione di VS Code avvelenata. Ciò ha portato all'accesso non autorizzato e all'esfiltrazione di repository interni di GitHub. La CVE-2026-48027 è stata assegnata alla versione maliziosa di Nx Console e aggiunta al catalogo delle vulnerabilità sfruttate conosciute (KEV) di CISA.
Raccomandazioni per la sicurezza
Per rilevare e rimediare a una possibile compromissione, CISA raccomanda di monitorare e verificare i file di workflow e l'attività dei contributori per richieste di pull e commit sospetti, in particolare quelli autori di account automatizzati. Inoltre, è consigliabile ruotare e revocare tutti i segreti, inclusi credenziali, token e segreti accessibili alle pipeline di integrazione e distribuzione continua, entro 72 ore dalla scoperta di una compromissione. Infine, è importante fissare il software a versioni specifiche attendibili per prevenire il pull di pacchetti maliziosi o non verificati durante il processo di build.
Conclusioni
La campagna di attacchi alla catena di approvvigionamento software che ha colpito GitHub e Nx Console mette in luce l'importanza di controllare e proteggere le pipeline di integrazione e distribuzione continua. La vera sfida non è la vulnerabilità in sé, ma la mancanza di controllo e la scarsa visibilità sulle attività di sviluppo e distribuzione del codice.