Er werd een kwaadaardige installatielink aangetroffen op de GitHub-wiki van een populair open source-project. De link verwees naar een externe URL (https://yip[.]su/2F5rd4) die door VirusTotal als verdacht is gemarkeerd. Als jouw project gebruikmaakt van GitHub-wiki's, vergrendel ze dan en beperk de toegang.
Wat er is gebeurd
Tijdens het doornemen van de documentatie van mockito (het populairste mocking-framework voor unit tests geschreven in Java) ontdekte iemand dat de installatiesectie van de wiki gebruikers doorverwees naar een verkorte URL (https://yip[.]su/2F5rd4). De link had niets met het project te maken en is op VirusTotal als kwaadaardig gemarkeerd. De link stond meer dan 3 jaar op de startpagina van de wiki voordat hij werd verwijderd.
Discussie over het issue: https://github.com/mockito/mockito/issues/3721
Wiki-diff met de invoeging en verwijdering: https://github.com/mockito/mockito/wiki/Home/_compare/7303a66959d7823864637d280a92b2a51b68c467...eb1df9c48fd3529bed997a81b4a2100e8c562fcd
Kwaadaardige verkorte link: https://yip[.]su/2F5rd4
VirusTotal-rapport: https://www.virustotal.com/gui/url/d05eafed450060b4cf8b044bcd7f74f0e1131d49cd2ea76b84de934e55390233
Bewijs
De onderstaande wiki-diff toont geïnjecteerde HTML die downloadknoppen weergeeft en een Windows-link naar de kwaadaardige verkorte URL bevat:
[Download installer](http://goo-gl[.]me/kj2PI)
## Installation
<a href="https://yip[.]su/2F5rd4"><img src="https://github[.]com/aidenlab/JuiceboxLegacy/wiki/images/winlogo.png" width=100 align="middle"/></a> <a href="https://yip[.]su/2F5rd4">Mockito for Windows</a>
<a href="https://github[.]com/mockito/mockito/releases"><img src="https://github[.]com/aidenlab/JuiceboxLegacy/wiki/images/maclogo.png" width=100 align="middle"/></a> <a href="https://github[.]com/mockito/mockito/releases">Mockito for Mac</a>
<a href="https://github[.]com/mockito/mockito/releases"><img src="https://www.rvmis[.]com/vendor/Tux.svg.png" width=100 align="middle"/></a> <a href="https://github[.]com/mockito/mockito/releases">Mockito for Linux</a>Weergegeven versie: https://github.com/mockito/mockito/wiki/Home/_compare/7303a66959d7823864637d280a92b2a51b68c467...eb1df9c48fd3529bed997a81b4a2100e8c562fcd?short_path=355883c
De Windows-knop verwijst naar https://yip[.]su/2F5rd4.
Ook andere populaire projecten kunnen hierdoor worden getroffen. Dit is geen op zichzelf staand incident — elke populaire repository met een open wiki is kwetsbaar voor deze aanvalsmethode.
Waarom
GitHub-wiki's staan los van de coderepository en hebben hun eigen rechten binnen open publieke projecten. Wijzigingen omzeilen vaak het PR- en codereviewproces, waardoor iedereen een kwaadaardige link kan toevoegen die onopgemerkt blijft en door zoekmachines wordt geïndexeerd.
Wat je kunt doen om je open source-project te beschermen
- Schakel wiki-bewerking uit of beperk het tot geselecteerde medewerkers
- Verplaats installatiedocumentatie naar
/docs(of de README) en vereis PR-reviews
Conclusie
Documentatie is onderdeel van je project — behandel het als echte code en volg hetzelfde review- en goedkeuringsproces.
