Alerta de segurança do Plone 20260116
Uma conta comprometida tentou inserir código malicioso em pull requests de repositórios do Plone. As tentativas foram barradas antes do merge, e mantenedores devem revisar os PRs de 1º a 14 de janeiro.
Por volta de 9 de janeiro, uma conta membro da organização Plone no GitHub tentou inserir código malicioso em vários pull requests de repositórios do Plone. Foram encontrados três casos, todos identificados antes que o merge acontecesse:
Os times de Segurança e de Administração removeram a conta da organização Plone no GitHub e entraram em contato com o dono. Depois se descobriu que a conta tinha sido comprometida com um personal access token roubado: o dono não agiu de má-fé e não sabia do que estava acontecendo.
O que fazer
É possível, e provável, que o atacante tenha inserido o código malicioso em outros PRs. Por isso, quem mantém pacotes nas organizações plone, zopefoundation ou collective no GitHub deve revisar com atenção redobrada os PRs (abertos e já aceitos) de 1º a 14 de janeiro, procurando código ou alterações fora do comum.
Como recomendação geral:
- ative a autenticação de dois fatores (2FA) na sua conta do GitHub;
- mantenha os personal access tokens (PAT) seguros, com prazo de validade e com as permissões mais restritas possíveis.
Mesmo com 2FA ativado, um PAT pode ser roubado e usado sozinho, porque dá acesso com um único código. É o que torna os PATs práticos, e também arriscados.