Das Repository enthielt nach Valadons Schilderung teils sprechende Verzeichnis- und Dateinamen wie „Important AWS Tokens.txt" und „ENTRA ID - SAML Certificates/". Darin lagen nicht nur diese Tokens und SAML-Zertifikate, sondern auch Klartext-Passwörter, private Schlüssel und weitere Anmeldedaten, von denen einige noch gültig waren.
Hinzu kamen CI/CD-Build-Logs, Dokumentation zu Deployment-Workflows, Kubernetes-Manifeste, GitHub-Actions-Workflows, Automatisierung der GitHub-Organisation sowie umfangreiche AWS-Daten – etwa Benutzerkonten, IAM-Daten (Identity and Access Management), Service-Konten und Pfade zur Verwaltung von Geheimnissen. „Das offengelegte Material bot einen detaillierten Einblick in Cloud-Infrastruktur, Deployment-Abläufe, Werkzeuge der Software-Lieferkette und interne Betriebspraktiken", schrieb Valadon. Dark Reading bat CISA um eine Stellungnahme, die Behörde antwortete bis Redaktionsschluss nicht.
Ob in den sechs Monaten, in denen das Repository online war, auf die Geheimnisse zugegriffen wurde, ist unklar. Studien zeigen, dass Angreifer Cloud-Ressourcen wie GitHub-Repositories auf offengelegte Geheimnisse überwachen und Leaks binnen Minuten nach der Veröffentlichung aufgreifen können. Eine belastbare Antwort erfordere laut Valadon die Mitwirkung von GitHub, da die Einsicht von außen begrenzt sei. „Was wir von außen sehen, ist, dass das Repository nie geforkt wurde, gemessen an öffentlichen GitHub-Ereignissen. Das ist ein schwaches, aber reales Signal dafür, dass es nicht weit zirkuliert ist", sagt er. Klone seien von außen nicht beobachtbar, sodass sich nicht ausschließen lasse, dass jemand eine Kopie heruntergeladen habe.
Nach der Benachrichtigung nahm CISA das Repository in gut 24 Stunden vom Netz – allerdings, so Valadon, mit Unterstützung des Cybersicherheits-Journalisten Brian Krebs, der seine Kontakte in der Behörde aktivierte und das Thema hochstufte. „Anerkennung für CISA, dass sie schnell gehandelt haben – die meisten unserer Meldungen brauchen weit länger, und manche werden nie behoben", schrieb Valadon.
Zugleich legt der Fall riskantes Verhalten des CISA-Personals offen. „Das Repository war ein Katalog unsicherer Praktiken: Klartext-Passwörter, in Git eingecheckte Backups und ausdrückliche Anleitungen, GitHubs Secret Scanning zu deaktivieren", schrieb Valadon. Die wahrscheinlichste Erklärung sei, dass GitHubs Push-Protection-Funktion das Hochladen blockierte, weil einige Commits fest einprogrammierte Geheimnisse enthielten. „Statt die Geheimnisse zu entfernen, dokumentierte jemand, wie man die Kontrolle abschaltet, damit die Commits durchgehen", sagt er. Reife Organisationen behandelten solche Funktionen hingegen als nicht verhandelbare Schutzmaßnahme; die richtige Reaktion sei, das Geheimnis aus dem Commit zu entfernen, nicht den Detektor.
Der Vorfall fällt in eine Zeit massiver Kürzungen bei CISA: Bis zum Vorjahr verlor die Behörde rund ein Drittel ihrer Beschäftigten, und der Haushaltsentwurf des Weißen Hauses für das Fiskaljahr 2027 sieht vor, ihre Mittel um mehr als 700 Millionen US-Dollar zu senken.