Un lien d'installation malveillant a été découvert dans le wiki Github d'un projet open source populaire. Ce lien pointait vers une URL tierce (https://yip[.]su/2F5rd4) signalée par VirusTotal. Si votre projet utilise des wikis Github, verrouillez-les et restreignez les accès.
Ce qui s'est passé
En consultant la documentation de mockito (le framework de mock le plus populaire pour les tests unitaires écrits en Java), quelqu'un a remarqué que la section d'installation du Wiki renvoyait les utilisateurs vers une URL raccourcie (https://yip[.]su/2F5rd4). Ce lien n'avait aucun rapport avec le projet et est signalé comme malveillant sur VirusTotal. Il est resté sur la page d'accueil du Wiki pendant plus de 3 ans avant d'être supprimé.
Discussion sur l'incident : https://github.com/mockito/mockito/issues/3721
Diff du Wiki montrant l'insertion et la suppression : https://github.com/mockito/mockito/wiki/Home/_compare/7303a66959d7823864637d280a92b2a51b68c467...eb1df9c48fd3529bed997a81b4a2100e8c562fcd
Lien court malveillant : https://yip[.]su/2F5rd4
Rapport VirusTotal : https://www.virustotal.com/gui/url/d05eafed450060b4cf8b044bcd7f74f0e1131d49cd2ea76b84de934e55390233
Preuves
Le diff du Wiki ci-dessous montre le HTML injecté qui affiche des boutons de téléchargement et inclut un lien Windows vers l'URL raccourcie malveillante :
[Download installer](http://goo-gl[.]me/kj2PI)
## Installation
<a href="https://yip[.]su/2F5rd4"><img src="https://github[.]com/aidenlab/JuiceboxLegacy/wiki/images/winlogo.png" width=100 align="middle"/></a> <a href="https://yip[.]su/2F5rd4">Mockito for Windows</a>
<a href="https://github[.]com/mockito/mockito/releases"><img src="https://github[.]com/aidenlab/JuiceboxLegacy/wiki/images/maclogo.png" width=100 align="middle"/></a> <a href="https://github[.]com/mockito/mockito/releases">Mockito for Mac</a>
<a href="https://github[.]com/mockito/mockito/releases"><img src="https://www.rvmis[.]com/vendor/Tux.svg.png" width=100 align="middle"/></a> <a href="https://github[.]com/mockito/mockito/releases">Mockito for Linux</a>
Le bouton Windows renvoie vers https://yip[.]su/2F5rd4.
D'autres projets populaires peuvent également être touchés. Il ne s'agit pas d'un incident isolé : tout dépôt public disposant d'un wiki ouvert est vulnérable à cette méthode d'attaque.
Pourquoi
Les wikis Github sont séparés du dépôt de code et disposent de leurs propres permissions sur les projets publics ouverts. Les modifications y échappent souvent au processus de PR et de revue de code, ce qui permet à n'importe qui d'y ajouter un lien malveillant sans que cela soit remarqué, tout en étant indexé par les moteurs de recherche.
Comment protéger votre projet open source
- désactiver ou restreindre la modification du Wiki aux seuls collaborateurs sélectionnés
- déplacer la documentation d'installation dans
/docs(ou le README) et exiger des revues de PR
À retenir
La documentation fait partie de votre projet : traitez-la comme du vrai code et appliquez-lui le même processus de revue.
