TanStack vurderer kun-invitasjon på pull requests etter Shai-Hulud-angrep

Fem tiltak på under en uke: pull_request_target-trigger byttet til workflow_run, alle pnpm- og GitHub Actions-cacher deaktivert, alle actions pinnet til faste commit-SHAer, SMS-2FA slått av på npm og GitHub, og statisk analyse zizmor gjøres obligatorisk for alle repoer. Det er TanStacks tekniske svar etter at Mini Shai-Hulud-ormen plantet credential-stealers i flere @tanstack/-pakker via en pull request som CI kjørte automatisk, ifølge heise online 19. mai.

Mekanismen utnytter at pull_request_target gir den ondsinnede PR-en tilgang til repoets hemmeligheter selv om koden kommer fra en ekstern bidragsyter. Bølgen har nå spredt seg videre til AntV-økosystemet hos Ant Group.

«Vi handlet for uforsiktig, spesielt siden GitHub har advart om disse sårbarhetene i årevis.» — TanStack-bloggen

I tillegg til selve trigger-byttet legger TanStack på en CODEOWNERS-fil for .github-mappene slik at bare kjernevedlikeholdere kan endre workflows, og bytter ut pnpm setup-cache med actions/cache/restore for mer konservativ standard-oppførsel. Målet er å gjøre angrepsoverflaten liten nok til at en enkelt manipulert PR ikke kan eskalere fra «utfør kode» til «kompromitter pipeline».

Det mest kontroversielle tiltaket er fortsatt uavklart internt: skal eksterne bidragsytere få lov til å åpne PRs mot TanStack-repoer i det hele tatt? Veien fra bruker til committer starter typisk med en åpen PR, så et kun-invitasjon-regime koster i rekruttering. TanStack erkjenner samtidig at tiltaket ikke ville stoppet akkurat dette angrepet, siden den ondsinnede PR-en uansett ble kjørt i CI.

Hva bør du gjøre?

Audit dine workflows for pull_request_target. Erstatt med workflow_run eller pull_request med strenge permissions: read-all.
Pinn alle GitHub Actions til commit-SHA, ikke tags. En kompromittert tag arves umiddelbart av alt som bruker @v3.
Slå av SMS-2FA på npm og GitHub. Bruk TOTP eller passkeys; npm-økosystemet behandler SMS som svakeste ledd i kontoovertakelser.