56 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a ci-cd.
Um pacote malicioso publicado no Maven Central usou typosquatting de namespace para imitar Jackson e executava código malicioso em aplicações Spring Boot. O artefato baixava payloads (Cobalt Strike) e usava ofuscação e nomes typosquat para persistência e evasão.
Pesquisadores no Black Hat Europe alertaram para o aumento de ataques que exploram GitHub Actions em 2025 e defenderam um modelo de responsabilidade compartilhada entre plataformas e desenvolvedores. A recomendação inclui revisão de workflows, restrição de permissões e auditoria contínua de pipelines.
GitHub apresentou falhas intermitentes em vários serviços nesta quinta-feira, com usuários vendo a mensagem “No server is currently available to service your request.” Episódios curtos afetaram Git operations, Actions e Pages; a página de status reportou investigação em curso.
Vulnerabilidade CVE-2025-67635 permite DoS não autenticado via HTTP CLI em versões antigas do Jenkins. Atualize para 2.541 ou LTS 2.528.3; priorize instâncias expostas e monitore conexões e threads.
Aikido Security descreveu a classe 'PromptPwnd', que permite injeção de prompts maliciosos em agentes de IA usados em pipelines CI/CD (GitHub Actions, GitLab). Um PoC contra o Gemini CLI levou à exposição de tokens; o Google corrigiu em quatro dias. Pesquisadores publicaram regras de detecção e recomendações práticas: sanitizar entradas, restringir ações de IA e reduzir escopos de tokens.
Aikido Security descreve "PromptPwnd", uma classe de prompt injection que afeta GitHub Actions/GitLab CI integrados a agentes de IA (Gemini CLI, Claude Code, OpenAI Codex) e já comprometeu pelo menos cinco empresas da Fortune 500; mitigação inclui sanitização de inputs e limitação de privilégios.
Shai‑Hulud 2.0, identificado pela Wiz.io, comprometeu mais de 30.000 repositórios via pacotes NPM envenenados (notadamente @postman/tunnel-agent v0.6.7 e @asyncapi/specs v6.8.3), roubando ~500 tokens GitHub e até 400.000 segredos detectados por Trufflehog (2,5% verificados).
BreachLock foi reconhecida como Leader e Fast Mover no GigaOm Radar Report for PTaaS 2025 pelo terceiro ano consecutivo; o relatório avaliou 16 provedores e destacou integração com SDLC, CI/CD e oferta unificada de PTaaS, CTEM e AEV.
Scanner que varreu 5,6 milhões de repositórios públicos no GitLab Cloud encontrou mais de 17.000 segredos expostos relacionados a mais de 2.800 domínios. A reportagem traz os números agregados, mas não detalha tipos de segredos nem ações de remediação.
Entro Security relata que o worm Shai Hulud 2.0, detectado em 24/11/2025, comprometeu cerca de 1.195 organizações ao exfiltrar snapshots de memória double-base64-encoded durante pipelines CI/CD; tokens ativos (GitHub, AWS, Google Cloud) chegaram a permanecer válidos dias após a detecção — recomendam rotacionar identidades não-humanas e tratar runtimes como comprometidos.