Pesquisadores de segurança descobriram uma nova falha no GitHub que, segundo eles, poderia ter permitido que invasores assumissem o controle de repositórios e espalhassem malware para aplicativos e códigos relacionados.

Embora o GitHub tenha corrigido o bug em seu recurso de “desativação de namespace de repositório popular”, a mesma ferramenta pode ser alvo de agentes de ameaças no futuro, alertou a Checkmarx.

Na verdade, uma vulnerabilidade separada na mesma ferramenta foi explorada no início deste ano, permitindo que hackers sequestrassem e envenenassem pacotes PHP populares com milhões de downloads.

Os repositórios do GitHub têm um URL exclusivo conectado à conta de usuário do criador. Se os usuários decidirem renomear sua conta, uma nova URL será gerada e o GitHub redirecionará o tráfego da URL original do repositório.

“Repojacking é uma técnica para sequestrar o tráfego de URLs de repositórios renomeados e roteá-los para o repositório do invasor, explorando uma falha lógica que quebra o redirecionamento original”, explicou a Checkmarx.