Op 16 april 2022 rapporteerde het GitHub-beveiligingsteam over een incident met gegevenslekken uit de privérepository's van platformclients met behulp van gecompromitteerde OAuth-tokens die zijn gegenereerd voor Heroku- en Travis-CIGitHub-services.
GitHub verduidelijkte dat ten minste 12 organisaties werden getroffen door de aanval. Het probleem trof ook een deel van de GitHub-diensten en de infrastructuur van het NPM-project.
Uit het onderzoek bleek dat de aanvallers enige tijd toegang kregen tot NPM-pakketten in de AWS S3-dienst. Om dit te doen, haalden ze OAuth-tokens van derden uit privé GitHub-repository's om toegang te krijgen tot de Amazon Web Services API.
GitHub heeft niet precies bekendgemaakt hoe de hackers toegang hebben gekregen tot de vereiste OAuth-tokens en -gegevens. Het platform verduidelijkte dat het geen hacks van zijn infrastructuur heeft geregistreerd en dat tokens voor het autoriseren van toegang vanaf externe systemen niet in hun oorspronkelijke formaat op de GitHub-kant worden opgeslagen.
GitHub-experts bestudeerden ook de acties van hackers nadat ze toegang hadden gekregen tot NPM-repositories. Ze vonden geen pakketwijzigingen of toegang tot databases met gebruikersaccounts.
GitHub zei dat de IT-infrastructuur van de GitHub.com- en NPM-platforms om veiligheidsredenen is gescheiden. Aanvallers waren na de aanval niet in staat om de inhoud van interne GitHub-repositories te downloaden die niet gerelateerd zijn aan NPM. De gecompromitteerde sleutels die ze gebruikten, werden geblokkeerd voordat de hackers hun aanval konden uitbreiden.
GitHub blijft het incident onderzoeken en werkt nauw samen met getroffen klanten om de impact van het datalek aan te pakken. GitHub nam contact op met Heroku en Travis-CI en vroeg deze services om hun eigen beveiligingsonderzoeken te starten, alle aangepaste OAuth-tokens die zijn gekoppeld aan de getroffen apps en clients in te trekken en te beginnen met het informeren van gebruikers over het incident.
Op 13 augustus 2021 heeft GitHub op wachtwoord gebaseerde Git-bewerkingen uitgeschakeld, nu zijn ze alleen mogelijk met een token (GitHub persoonlijke tokens of OAuth) of met behulp van SSH-sleutels. Dit is gedaan om gebruikers te beschermen en te voorkomen dat aanvallers gestolen of gecompromitteerde wachtwoorden gebruiken.
bbabo.Net