El equipo de TanStack implementó nuevas medidas de seguridad tras sufrir un ataque de envenenamiento de caché mediante un PR malicioso. Para evitar futuros incidentes, eliminaron funciones vulnerables de GitHub Actions y adoptaron el uso de hashes y restricciones de edad en dependencias. Además, evalúan la drástica posibilidad de permitir pull requests solo bajo invitación, lo que generaría un debate sobre la seguridad frente a la apertura de las contribuciones.

El equipo de TanStack ha documentado medidas de seguridad y propuestas tras una brecha perjudicial la semana pasada, incluida la posibilidad de hacer que las solicitudes de extracción (PR) sean solo por invitación, lo que supondría una ruptura con el modelo de contribución abierta que define a la mayoría de los proyectos de código abierto.

El ataque utilizó código del gusano Shai-Hulud, publicado por el grupo de malware TeamPCP, que puede extraer secretos de la memoria utilizada por GitHub Actions. Comenzó con una PR que activó un flujo de trabajo automático mediante el uso de la función pull_request_target de TanStack, lo que provocó que el código malicioso fuera compilado y ejecutado por una GitHub Action, envenenando una caché utilizada en todo el repositorio.

El equipo de TanStack afirmó en su blog que su flujo de trabajo utilizaba un patrón contra el que GitHub advierte en su laboratorio de seguridad: el id pull_request_target destinado a PR que "no requieren un procesamiento peligroso, como compilar o ejecutar el contenido de la PR".

Desde el ataque, TanStack ha eliminado todo uso de pull_request_target de su canal de integración continua (CI), ha desactivado las cachés utilizadas por pnpm (un gestor de paquetes de Node.js) y GitHub Actions, ha anclado las acciones a hashes de commit SHA en lugar de etiquetas reorientables, y ha desactivado el uso de mensajes de texto para la autenticación de dos factores.

El repositorio de TanStack también utiliza ahora una función de pnpm 11 llamada minimumReleaseAge, que requiere que las dependencias hayan sido publicadas durante un periodo determinado antes de que puedan ser instaladas. La idea es que los paquetes comprometidos suelen detectarse y eliminarse antes de que finalice dicho periodo.

Una propuesta más drástica es cerrar la capacidad de los colaboradores externos para abrir solicitudes de extracción por completo. "No vamos a pasar a código cerrado en absoluto", afirmó el equipo, pero podría implementar un mecanismo donde las contribuciones comiencen con un problema o discusión, y una PR pueda ser enviada solo por invitación.

TanStack reconoció que sería un paso radical ya que "las PR abiertas son parte de cómo muchos de nosotros llegamos a ser mantenedores en primer lugar". Podría no ser necesario si el repositorio puede reforzarse lo suficiente como para que las PR maliciosas no puedan causar daños.

Es un debate que los mantenedores de otros proyectos de código abierto seguirán con interés. La seguridad de la cadena de suministro es un problema enorme, pero hacer que las solicitudes de extracción sean solo por invitación podría perjudicar a los proyectos al disuadir las contribuciones.

Otro aspecto de esto es hasta qué punto el propio GitHub es el culpable. "El alcance de la caché en GitHub Actions no debería conectar silenciosamente las PR de forks y las ramas del repositorio base", afirmó el equipo de TanStack.

Fuente:
TheRegister