Publicado en

GitHub refuerza la seguridad de la cadena de suministro: Bloqueo de ataques «Pwn Request»

•Publicado enSeguridad en la Nube


En un movimiento estratégico para fortalecer la seguridad de la cadena de suministro de software, GitHub ha anunciado una actualización crítica en su acción oficial «actions/checkout». El objetivo principal es mitigar los ataques conocidos como «pwn request», una técnica que explota configuraciones de flujos de trabajo (workflows) para ejecutar código malicioso con privilegios elevados.

¿Qué es un ataque «Pwn Request»?

Este tipo de ataque se produce cuando un flujo de trabajo de GitHub Actions utiliza el disparador pull_request_target de forma insegura. A diferencia del disparador estándar pull_request, el evento pull_request_target se ejecuta en el contexto del repositorio base y tiene acceso a secretos y tokens de escritura (GITHUB_TOKEN).

Si un atacante envía un Pull Request desde un fork (una copia externa del proyecto) que contiene scripts maliciosos, y el flujo de trabajo descarga y ejecuta ese código automáticamente, el atacante podría robar credenciales, envenenar la caché o comprometer la integridad del software antes de su distribución.

La solución: Cambios en actions/checkout v7

A partir del 18 de junio de 2026, la versión 7 de actions/checkout bloqueará por defecto los patrones de ataque más comunes. Entre los cambios principales destacan:

  • Rechazo de código de forks: La acción se negará a descargar código proveniente de forks en flujos de trabajo activados por pull_request_target o workflow_run, a menos que se autorice explícitamente.
  • Control de referencias inseguras: Se bloquearán las descargas que apunten directamente a commits o ramas de repositorios externos no verificados.
  • Opción de exclusión (Opt-out): Los desarrolladores que necesiten esta funcionalidad por razones legítimas deberán activar manualmente el flag allow-unsafe-pr-checkout: true, asumiendo los riesgos asociados.

Impacto en el ecosistema empresarial

Este cambio no es menor. Recientemente, campañas de ciberataques han comprometido paquetes asociados al sistema de construcción Nx, así como plataformas populares como PostHog y TanStack, utilizando precisamente esta vulnerabilidad. Para las empresas, asegurar el pipeline de CI/CD (Integración Continua y Despliegue Continuo) es vital, ya que un compromiso en esta etapa puede afectar a miles de usuarios finales de forma silenciosa.

Recomendaciones de Intedya para equipos de desarrollo

Desde Intedya, recomendamos a las organizaciones revisar sus configuraciones de automatización siguiendo estas mejores prácticas:

  1. Actualizar a la versión v7: Planificar la migración a la última versión de actions/checkout para beneficiarse de estas protecciones por defecto.
  2. Principio de menor privilegio: Restringir los permisos de los tokens de GitHub Actions al mínimo necesario (lectura en lugar de escritura si no es indispensable).
  3. Evaluar el uso de pull_request_target: Utilizar este disparador únicamente para tareas administrativas (como etiquetar PRs o comentar) y nunca para compilar o probar código no revisado.
  4. Revisión de código externa: Implementar políticas que requieran la aprobación de un mantenedor antes de que cualquier flujo de trabajo se ejecute en contribuciones externas.

La seguridad en el desarrollo de software ya no es una opción, sino una necesidad operativa. GitHub está dando un paso importante al convertir la seguridad en la configuración por defecto, reduciendo la superficie de ataque para miles de empresas en todo el mundo.


Fuentes