Разработчики свободной системы управления контентом Plone, написанной на Python и JavaScript/NodeJS, объявили об инциденте, в результате которого в git-репозиторий проекта на GitHub был добавлен вредоносный код. Изначально в репозитории были выявлены три появившихся 7 января изменения (1,    2, 3), добавляющие вредоносный код в JavaScript-файлы проекта (1,    2, 3). Разбор инцидента показал, что интеграция вредоносного кода была произведена в результате компрометации учётной записи одного из разработчиков, токен доступа которого был захвачен злоумышленниками после запуска вредоносного ПО в его системе...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=64718

• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 10:57 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,ананас, 11:05 , 01-Фев-26
    • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:26 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 12:27 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 12:44 , 01-Фев-26
• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:06 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Grigoriy Wiser, 11:18 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 13:35 , 01-Фев-26
• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:08 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:34 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 12:03 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 12:55 , 01-Фев-26
• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:09 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 13:37 , 01-Фев-26
• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:20 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:21 , 01-Фев-26
    • Атакующим удалось добавить незамеченный вредоносный код в ре...,Васян, 12:11 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 13:52 , 01-Фев-26
• Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:46 , 01-Фев-26
  • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 11:56 , 01-Фев-26
    • Атакующим удалось добавить незамеченный вредоносный код в ре...,Аноним, 12:48 , 01-Фев-26

Force push? Так а ничего, что у всех потом репозиторий перестанет пулиться?

там поди только 1 разраб

Да, этот как-то топорно было. Джи Танг или как там того китайца/корейца/японца звали, что в ssh пушил, показал класс. Там по всему репозиторию растер и чудом заметили.

vibe pulling

Спросят у чат бота почему не пулится, получат и применят ответ. И всё работает как надо.

А ты думаешь как его вычислили? Без этого бы так ничего бы и не поняли.

"Си дыряв — пишу на NodeJS и Rust", — говорили они.

Вы адекватны? При угоне доступа без разницы, на каком языке написан код, хоть на ассемблере, хоть "0010 0101 1110".

> вредоносный код ... в git-репозиторий проекта на GitHub

Первый раз слышу о таком проекте, ну это же не хром или ядро, очевидно что проект маленький, ну какая там команда разработчиков, человек 10? Понимаю если 100, тогда ещё можно не уследить, но тут же вполне реально вчитываться в присылаемые изменения, даже от коллег.
Ок, примем что ребята просто на доверии, расслабились и не учли что возможность компрометации никогда не равна нулю.

Первая CMS на Python, ей лет тридцать

То что вы о проекте не слышали, не говорит о том, что он не популярен. В своё время Plone была одной из самых популярных CMS, но потом её вытеснил WordPress.

https://ru.wikipedia.org/wiki/Plone

ты ещё скажи что никогда не слышал про web application server Zope (https://ru.wikipedia.org/wiki/Zope)

А еще интересно, кто стоит за этим, и похожими взломами реп питона и жс.

> git-репозиторий проекта на GitHub

GitHub - это Микрософт.

А вообще, нужно уже придумывать что то новое, для избежания подобных атак, хз, не принимать например изменения от непонятно кого, например, или в чате разработчиков ввести правило, что перед тем как кто-то вносит изменения, обязательно всех оповестить об этом, ну и всем работать не через токены, а просто предлагать изменения, и далее в чате, только уже после, решать, вносить их или нет. Хакерам для такого придется еще и чат ломать.

Да да а патчи по емайл принимать одному человеку...

-- - - --  Да да а патчи по емайл принимать одному человеку...

Не, па тилифону и с помащью голасавого памощника... всё должно быть ридонли, полная изаляцыя синей изолентой и в пластиковом контейнере с фольгой запаковано потом. Любимая тема всяких разрабов всяких фич будущего человечества.

Лучше всего mailing list сделать, куда слать патчи с помощью git-send-email.

> Для предотвращения подобной подмены веток в будущем разработчики Plone включили в GitHub правила, блокирующие операции "force push" для основных веток и тегов.

Это первое, что должны делать сопровождающие новых реп. Странно, что гитхаб сам не рекомендует отключить force в мастер ветки.

И что предлагаешь делать всяким винампам? Их же засудят на много денег.

Временно отключать правило,а потом опять включать.