AsyncAPI'nin npm paketleri, çalınan GitHub token'ıyla zararlı yazılım bulaştırıldı

AsyncAPI projesinin generator deposuna 14 Temmuz’da 37 pull request açıldı — büyük çoğunluğu sahte bir bağış sayfası eklemeye çalışan, göze zararsız görünen taleplerdi. Ancak bu gürültünün içine gizlenmiş tek bir PR, yanlış yapılandırılmış bir GitHub Actions workflow’unu istismar ederek yetkili bir Personal Access Token çaldı.

Zincirin mekaniği: pull_request_target hatası

Depodaki workflow dosyası, pull_request_target olayıyla tetikleniyordu — bu olay, ana depo bağlamında ve onun secret’larına tam erişimle çalışır. Sorun, workflow’un PR’ın kendi kodunu (yani saldırganın kontrolündeki kodu) checkout etmesiydi. Sonuç: saldırgan kodu, ana deponun gizli anahtarlarına erişimi olan bir bağlamda çalıştı.

Etkilenen paketler ve yük

Çalınan token’la @asyncapi/generator, @asyncapi/generator-helpers, @asyncapi/generator-components ve @asyncapi/specs paketlerinde toplam beş zararlı sürüm yayınlandı. Bu dört paket birlikte haftada 3 milyondan fazla indirme alıyor.

Zararlı yük; Chrome, Brave, Firefox ve Edge’de saklı şifre/çerezleri, SSH anahtarlarını, npm ve GitHub token’larını, AWS credential’larını, macOS Keychain’i ve kripto cüzdanlarını hedefleyen çok aşamalı bir kalıcılık + komuta-kontrol mekanizması içeriyor. Kritik detay: yük paket kurulurken değil, import/require anında çalışıyor — bu da klasik “kurulum sonrası tarama” savunmalarını atlatıyor.

Neden önemli

Saldırı, açık-kaynak bakım iş akışlarının en zayıf halkasının artık paket deposu değil, CI/CD yapılandırması olduğunu bir kez daha gösteriyor. pull_request_target’ı PR kodunu checkout ederek kullanan her repo — bakımcısı ister 3 milyon haftalık indirmeli bir proje olsun, ister küçük bir iç araç — aynı sınıf riski taşıyor. GitHub’ın kendi güvenlik rehberliği bu deseni yıllardır “tehlikeli” olarak işaretliyor; bu vaka, uyarının hâlâ pratikte göz ardı edildiğini kanıtlıyor.