Захват репозитория для массового заражения зависимостей

Repository hijacking (или RepoJacking) - атака на репозиторий, которая позволяет получить полный контроль над его кодовой базой. В результате, атакующий может выполнить произвольный код в том контексте, где подключается этот репозиторий.

Условия для реализации атаки:
1. если разработчик в своем коде напрямую подключает сторонний код из чужого репозитория,
2. и если автор этого репозитория удалил/перенес/продал свой аккаунт,
3. то любой может повторно зарегистрировать этот аккаунт и разместить в нем вредоносный код,
4. и все приложения, которые подключают код из этого репозитория, оказываются вредоносными.

Легкая победа, для тех, кто преследует цель массового заражения зависимостей. Поэтому, разработчик, опереди атакующего и проведи четыре простых действия:

1. Извлеки все ссылки на git, которые используются в твоем коде.
2. Проверь актуальность этих ссылок и убедись, что ни одна из них не возвращает ответ «404». Для этого использую сканер nuclei с шаблоном для обнаружения атак типа subdomain takeover (да, атаки RepoJacking являются их подвидом).
3. Все репозитории, которые возвращают ответ «404», исключи из своей кодовой базы.
4. Повтори пункты 1-3 в своем следующем релизе.