6 月 27 日消息，安全公司 Aqua Nautilus 日前曝光了 GitHub 庫中存在的 RepoJacking 漏洞，黑客可以利用該漏洞，入侵 GitHub 的私人或公開庫，將這些組織內(nèi)部環(huán)境或客戶環(huán)境中的文件替換為帶有惡意代碼的版本，進(jìn)行挾持攻擊。

據(jù)悉，當(dāng) GitHub 用戶 / 組織更改其名稱時，可能會發(fā)生 RepoJacking，這是一種供應(yīng)鏈攻擊，允許攻擊者接管 GitHub 項目的依賴項或整個項目，以對使用這些項目的任何設(shè)備運行惡意代碼。

黑客可直接通過掃描互聯(lián)網(wǎng)，鎖定需要攻擊的 GitHub 庫，并繞過 GitHub 存儲庫限制，將其中的文件替換為帶有木馬病毒的版本，在其他用戶下載部署后，黑客即可操控用戶終端，進(jìn)行攻擊。

Aqua Nautilus 使用 Lyft 進(jìn)行演示，他們創(chuàng)建了一個虛假的存儲庫，并對獲取腳本進(jìn)行了重定向，使用 install.sh 腳本的用戶將在不知不覺中自己安裝上帶有惡意代碼的 Lyft，截至發(fā)稿，Lyft 的漏洞已經(jīng)被修復(fù)。

▲ 圖源 Aqua Nautilus

▲ 圖源 Aqua Nautilus

研究人員同時發(fā)現(xiàn)谷歌在 GitHub 中的庫也存在相關(guān)漏洞：

當(dāng)用戶訪問 https://github.com/socraticorg/mathsteps 時，將被重定向到 https://github.com/google/mathsteps 因此最終用戶將獲谷歌的存儲庫。但是，由于 socraticorg 組織可用，攻擊者可以打開 socraticorg / mathsteps 存儲庫，用戶如果直接在終端中執(zhí)行谷歌給的安裝命令，實際上將會下載黑客替換過的惡意文件。

在 Aqua Nautilus 反饋后，谷歌目前也已經(jīng)修復(fù)了這個問題。

Aqua Nautilus 表示，用戶可以在 GitHub 庫的舊名稱與新名稱之間創(chuàng)建鏈接（將舊名稱重定向到新名稱）來規(guī)避 RepoJacking 漏洞，IT之家的小伙伴們可以參考這里獲取更多相關(guān)信息。