Cordyceps: a ameaça na CI/CD que quebra a fronteira de confiança e pode tomar controle de repositórios e roubar credenciais

Cordyceps, o nome que deu o Novee Security a um padrão exploável em pipelines CI/CD, é uma advertência urgente para projetos de código aberto e grandes organizações: configurações aparentemente válidas podem permitir a um atacante anônimo Utilizar o controle de repositórios, executar código no runners da CI e roubar credenciais, com consequências em toda a cadeia de fornecimento de software.

A raiz do problema não é um bug linear, mas uma falha de composição: fluxos de trabalho que, por como estão encadeados ou por que licenças concedem, permitem que dados não confiáveis cruzem uma fronteira de confiança. Assim, um comentário, o nome de um ramo ou um pull request (PR) malicioso pode se tornar vetor para executar comandos privilegiados em infraestruturas de organizações como a Microsoft, o Google, o Apache ou o Cloudflare, de acordo com o relatório do Novee. Essa característica — que uma conta gratuita e anônima possa iniciar o ataque — eleva dramaticamente o risco.

O perigo é duplo. Por um lado, estão os efeitos imediatos: execução remota no runners, ex-filtração de tokens ou chaves integradas nos sistemas de automação e capacidade para fundir ou publicar código malicioso. Por outro lado, está o efeito sistêmico: comprometer uma dependência ou uma livraria popular pode propagar código malicioso a inúmeros projetos e clientes, gerando um dano multiplicado que lembra por que a segurança da cadeia de abastecimento é agora uma prioridade estratégica.

Que este tipo de problema escape a ferramentas clássicas de análise não deveria surpreender. Os scanners costumam verificar que cada peça individual faça “o que se supõe”, mas nem sempre modelam a segurança emergente que aparece quando fluxos diferentes interagem, disparadores de eventos cruzam contextos de permissões e segredos ficam inadvertidamente acessíveis em condições concretas.

Para mantenedores e equipamentos de segurança as recomendações práticas são claras e aplicáveis já mesmo: minimizar permissões concedidas por defeito aos tokens e aos fluxos de trabalho; evitar expor segredos em contextos onde contribuições não verificadas podem activá-los; preferir o princípio de menor privilégio nos workflows e configurar explicitamente a seção permissions no GitHub Actions ou equivalentes em outros CI; exigir revisões e protecções de ramo antes de permitir fusões automáticas; e rotar ou remover chaves não expiring ou embebidas em pipelines.

Existem também mitigações técnicas complementares que convém adotar: executar validações em runners isolados sem acesso a segredos, proibir que workflows desde forks utilizem segredos de repositório, usar identidades efímeras (por exemplo OIDC) em vez de tokens de longa vida, e auditar as cadeias de triggers para detectar pontos onde um evento não confiável pode induzir a execução com privilégios. Também é relevante incorporar análises estáticas e regras específicas para detectar padrões de “trust boundary crossing” nos YAML da CI.

As grandes organizações devem assumir que a superfície de ataque inclui configurações herdadas e projetos populares mantidos por comunidades abertas. Além de aplicar endurecimentos, é recomendável estabelecer detecção e resposta: alertas ante mudanças em workflows, monitoramento de atividade em runners, e auditoria de usos de tokens e aprobações automáticas. Para aqueles que mantêm pacotes ou infra-estruturas críticas, aderir a quadros como a SLSA e guias públicos de segurança de ações da CI ajuda a institucionalizar boas práticas: https://slsa.dev/ e o guia oficial do GitHub para hardening de Actions são pontos de partida concretos: https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions.

O caso Cordyceps também lembra a importância da divulgação responsável: os achados reportados levaram a confirmações e mitigações por parte de fornecedores afetados, mas a lição perdura. A segurança da CI/CD não é apenas configurar bem cada peça, mas compreender e auditar como essas peças interagem Quando são recebidas contribuições externas.

Se você gerencia repositórios ou plataformas CI, prioriza hoje uma revisão dos seus workflows e das permissões associadas a Tokens, automatiza a detecção de padrões perigosos em seus YAML e revisa qualquer uso de credenciais persistentes em sistemas de automação. Para equipes de risco e governança, convite-o em requisito contratual em projetos críticos: testes de hardening CI/CD e evidências de rotatividade de credenciais antes de permitir integrações automáticas.

A ameaça é real, explorável no mundo aberto e capaz de escalar rapidamente; a resposta deve ser rápida e estruturada: diminuir a superfície de ataque, endurecer as fronteiras de confiança e auditar continuamente a composição de nossos pipelines para que o software que entregamos não leve surpresas ocultas.