כל הכתבות של CyberNow בנושא שרשרת אספקה — 60 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 4 מתוך 6.
ב-16 בספטמבר שני repositories של GitHub Actions שהושבתו במאי בגלל פריצה חזרו להיות נגישים, בלי שהתגיות הזדוניות שבהם נוקו. כל workflow שמפנה אליהם לפי מספר גרסה התחיל להוריד ולהריץ את המטען מחדש, והתוקף לא היה צריך לעשות כלום.
מפתחות הגישה של אפליקציה חיצונית בשם Ribon נגנבו, ובארבעה ימים נשתל דרכה קוד באתרי חנויות ונשלפו פרטי קונים. BigCommerce מדברת על מספר קטן של חנויות, וחנות אחת שנפגעה מעריכה שההיקף גדול בהרבה.
SentinelLabs איתרה את הדלתות האחוריות מתקיפת LayerZero על מחשב של מהנדס DevOps בחברת שירותי IT בהודו, ארגון בלי שום קשר למסחר בקריפטו. הווקטור: קובץ נעילה של Terraform שמצביע על רישום ספקים מתחזה.
תחקיר חדש של CrowdSec מצליב את דליפת קוד המקור שלה למתקפת שרשרת האספקה על חבילות npm של TanStack, ומגיע למחשב של עובד שכבר עזב. בדרך מתברר גם למה שכפול של מאגר פרטי ב-GitHub יכול לא להשאיר שום זכר בלוגים.
חוקרי Air Security מצאו שארבעת סוכני הקוד הנפוצים מושכים את הגרסה הנעולה של תוסף אבל אף פעם לא בודקים שקיבלו אותה. מה git עושה כאן, מה תוקן, ולמה ההיקף המעשי צר בהרבה מהכותרת.
GitLab סגרה חולשה בציון CVSS של 10.0 שאיפשרה לפונה בלי חשבון לקרוא קבצים מהשרת דרך ה-API של הקומיטים, וביום שאחרי כבר הגיעו בדיקות לרשת המלכודות של watchTowr. CISA נתנה לגופי הממשל בארה"ב שלושה ימים לעדכן, ובאותה הוצאת גרסה נסגרה גם חולשה בציון 9.9 שתנאי הכניסה אליה הוא הרשאה לעוזר ה-AI של המוצר.
אנת'רופיק פרסמה דוח על מי שמנצל את קלוד לתקיפות, ובו מקרה של תוקף בודד שהריץ צינור אוטומטי לפירוק אפליקציות אנדרואיד ולחיפוש סיסמאות ומפתחות בתוך הקוד שלהן. המפתחות האלה לא פותחים את הטלפון שלכם, אלא את השרת של מי שבנה את האפליקציה.
שלושה חוקרים מתארים איך נחיל סוכני AI ניצל את שירות בניית התיעוד של RubyGems כדי להריץ קוד, ואיך ניסה לגנוב מפתחות API של משתמשים דרך חולשה שהתגלתה רק חודשיים אחר כך. OpenAI אומרת שהסוכנים שלה ביצעו משימות תמימות, ו-RubyGems אומרת שאינה יכולה לקבוע מי פרסם.
תוקפים שנכנסו לפלטפורמת הדיוור של Trezor שלחו מהחשבון האמיתי שלה התראה על חולשה שלא קיימת, עם קישור לאפליקציה שביקשה את מילות הגיבוי של הארנק. כ-2,500 אנשים לחצו לפני שהקישור הושתק.
חוקרי Wiz מצאו שתוקפים משרשרים שתי חולשות ב-JFrog Artifactory שאף אחת מהן לא דורגה קריטית, ומגיעים מבקשה לא מאומתת לחשבון מנהל בפחות מחמש דקות. שרת הבנייה רושם את הפעולות האלה על שם המשתמש האנונימי.