Nach Angaben von Novee liegen die Schwachstellen in GitHub-Actions-.yml-Dateien. Niedrig privilegierte Workflows könnten durch nicht vertrauenswürdige Pull Requests oder Kommentare ausgelöst werden. Deren Ausgabe münde dann in hoch privilegierte Workflows, die sich mit den Rechten eines Maintainers bei Cloud-Anbietern authentifizieren.
Novee beschreibt diese Workflows als sicherheitskritisch, obwohl sie oft nur als Konfiguration behandelt würden. Sie führten Shell-Befehle aus, authentifizierten sich bei Cloud-Anbietern, hielten Signaturschlüssel vor und veröffentlichten Releases. Gerade diese Zusammensetzung führe zu Befehlsinjektion, Rechteausweitung und Kompromittierungen der Software-Lieferkette.
Laut Novee können nicht authentifizierte Angreifer mit einem kostenlosen Konto diese Schwächen ausnutzen, um Freigaben zu fälschen, Code einzuspielen und Zugangsdaten abzugreifen – ohne Mitgliedschaft in einer Organisation und ohne besondere Rechte. In einem einzelnen Scan seien 654 Repositories markiert worden; bei mehr als 300 habe Novee eine vollständige Ausnutzbarkeit bestätigt, einschließlich vom Angreifer kontrollierter Codeausführung, Diebstahl von Zugangsdaten oder einer direkten Kompromittierung der Lieferkette.
Bestätigt wurde die Betroffenheit demnach unter anderem für Microsofts Azure Sentinel, Googles AI Agent Development Kit, die Analytics-Datenbank Doris von Apache, Cloudflares Workers SDK sowie den Code-Formatter Black der Python Software Foundation. Betroffen seien damit auch alle Organisationen, die auf diese Repositories angewiesen sind.
Als mögliche Folgen der Ausnutzung nennt Novee Kompromittierungen der Lieferkette durch bösartige Pakete auf NPM, PyPI, Crates.io, Docker/GHCR und Helm. Ebenso seien bösartiger Code auf geschützten Branches, erzwungene CI-Prüfungen, kompromittierte Zugangsdaten in AWS, GCP und Netlify, kompromittierte selbst gehostete Runner sowie die Imitation von Bots möglich.
Novee führt die weite Verbreitung auf „agentisches Coding“ zurück. Dadurch seien unsichere Muster in automatisch generierten CI/CD-Workflows über Millionen Repositories hinweg vervielfältigt worden. Wenn dieselbe Software anschließend von Tausenden Organisationen installiert werde, könne ein kompromittierter Workflow in nur einem Repository laut Novee Folgewirkungen bis in Banken, Cloud-Konten, KI-Labore und Endgeräte entfalten.
Die Sicherheitsfirma betont, dass traditionelle Scanner diese Fehlerklasse oft nicht erkennen, weil technisch betrachtet jede einzelne Komponente wie vorgesehen funktioniere. Die Schwachstelle entstehe erst in der Komposition: wenn nicht vertrauenswürdige Daten eine Vertrauensgrenze überschreiten, die niemand geprüft habe.