Kaspersky’nin Küresel Araştırma ve Analiz Ekibi (GReAT), GitHub’da en fazla yıldız alan 30 bin depodaki 130 binden fazla GitHub Actions CI/CD iş akışını inceledi. Araştırma sonucunda 250 binden fazla potansiyel hatalı yapılandırma belirlenirken, kritik güvenlik sorunları içeren sekiz depo tespit edildi.
Analize göre bulguların yüzde 59,8’i düşük, yüzde 39,8’i orta ve yüzde 0,4’ü yüksek risk kategorisinde yer aldı. En sık karşılaşılan sorunlar arasında gereğinden geniş erişim izinleri, bağımlılıkların belirli sürümlere sabitlenmemesi ve iş akışı ayarlarındaki güvenlik eksiklikleri bulunurken, bazı depolarda hassas verilerin açığa çıkmasına yol açabilecek yapılandırmalar da belirlendi.
Kaspersky, kritik bulguların sorumlu açıklama ilkesi kapsamında ilgili geliştiricilerle paylaşıldığını açıkladı. Şirket ayrıca, GitHub depo tarama özelliğiyle hatalı yapılandırmaların CI/CD süreçlerine entegre veya bağımsız olarak tespit edilebildiğini belirtti.
