GitHub 称黑客通过窃取的 OAuth 访问令牌入侵了数十个组织

基于云的存储库托管服务 GitHub 周五透露，它发现了一个不知名的对手利用被盗的 OAuth 用户代码从多个组织未经授权下载私人数据的证据。

“攻击者滥用被盗 OAuth 用户令牌发给两个第三方 OAuth 集成商 Heroku 和 Travis-CI，从包括 NPM 在内的数十个组织下载数据，”GitHub 的 Mike Hanley 一份声明 在一份报告中。

通常 OAuth . 访问令牌是 用过的 通过应用程序和服务允许访问特定的用户数据并相互通信，而无需共享实际凭据。 它是用于从单次登录传递授权的最常用方法之一（单点登录) 另一个应用程序的服务。

截至 2022 年 4 月 15 日，受影响的 OAuth 应用程序列表如下：

• Heroku 仪表板 (ID: 145909)
• Heroku 仪表板 (ID: 628778)
• Heroku 仪表板 – 预览版 (ID: 313468)
• Heroku 仪表板 – 经典版（ID：363831），
• 特拉维斯 CI (ID: 9216)

该公司表示，据说 OAuth 令牌不是通过违反 GitHub 或其系统获得的，因为它没有以原始可用格式存储令牌。

此外，GitHub 警告说，受威胁的攻击者可能会使用第三方 OAuth 应用程序分析从受害者实体下载的私有存储库的内容，以收集额外的秘密，然后可以利用这些秘密专注于其基础设施的其他部分。

这家微软拥有的平台表示，它在 4 月 12 日发现了攻击活动的早期证据，当时它遇到了使用受损的 AWS API 密钥对其 NPM 生产环境进行未经授权的访问。

据信，此 AWS API 密钥是通过从两个受影响的 OAuth 应用程序之一下载一组带有 OAuth 令牌的身份不明的私有 NPM 存储库获得的。 GitHub 表示，它已经删除了与受影响应用程序相关的访问令牌。

“此时，我们评估攻击者没有修改任何包或访问任何用户帐户数据或数据，”该公司表示，并补充说它仍在检查攻击者是否查看或下载了私人包。

GitHub 还表示，它目前正在努力识别并通知所有已知受影响的用户和组织，这些用户和组织可能会在接下来的 72 小时内因此次事件而受到影响。