Claude Code GitHub Action Flaw Let One Malicious Issue Hijack Repositories
Fonte: The Hacker News | Jurisdição: Internacional | Tipo: Notícia
A security researcher found a flaw in Anthropic’s Claude Code GitHub Action that let an attacker take over vulnerable public repositories running it, with nothing more than a single opened GitHub issue. Because Anthropic’s own action repo used the same workflow, a working attack could have pushed malicious code into the action itself and onto the projects downstream that pull it. RyotaK of GMO
Pesquisador de segurança identificou falha crítica na GitHub Action Claude Code, desenvolvida pela Anthropic, que permite execução não autorizada de código em repositórios públicos. A vulnerabilidade permite que um atacante assuma controle de repositórios vulneráveis através da abertura de uma única issue no GitHub. O risco é amplificado pelo fato de o próprio repositório da ação da Anthropic utilizar o mesmo workflow, criando potencial para injeção de código malicioso na ação e propagação downstream para projetos que a consomem. O pesquisador RyotaK (GMO) realizou a descoberta. Incidente de segurança crítico com potencial de comprometimento em cadeia (supply chain attack). A falha afeta integridade de repositórios e confiabilidade de ferramentas de automação CI/CD. Recomenda-se auditoria imediata de implementações da GitHub Action Claude Code, revisão de logs de execução e aplicação de patches de segurança. O incidente evidencia riscos de segurança em integrações de IA com infraestrutura de desenvolvimento e necessidade de validação rigorosa de workflows automatizados.
Fonte original: The Hacker News