Атака срещу инфраструктурата на PyTorch, компрометираща хранилището и версиите

Раскрыты детали атаки на инфраструктуру, используемую при разработке фреймворка машинного обучения PyTorch, позволившую извлечь ключи доступа, достаточные для размещения произвольных данных в репозитории с релизами проекта в GitHub и AWS, а также для подстановки кода в основную ветку репозитория и добавления бэкдора через зависимости. Подмена релизов PyTorch могла использоваться для осуществления атаки на крупные компании, такие как Google, Meta, Boeing и Lockheed Martin, использующие PyTorch в своих проектах. В рамках программы Bug Bounty компания Meta выплатила исследователям $16250 за информацию о проблеме.

Суть атаки в возможности выполнения своего кода на сървъри непрерывной интеграции, выполняющих пересборку и выполнение заданий для тестирования новых изменений, отправляемых в репозиторий. Проблема затрагивает проекты, которые используют собственные внешние обработчики «Self-Hosted Runner» с GitHub Actions. В отличие от традиционных GitHub Actions обработчики Self-Hosted выполняются не в инфраструктуре GitHub, а на своих серверах или в виртуальных машинах, поддерживаемых разработчиками.

Выполнение сборочных заданий на своих серверах позволяет организовать запуск кода, который может осуществить сканирование внутренней сети предприятия, поиск в локальной ФС ключей шифрования и токенов доступа, анализ переменных окружения с параметрами обращения к внешним хранилищам или облачным сервисам. При отсутствии должной изоляции сборочного окружения найденные конфиденциальные данные могут быть отправлены атакующим вовне, например, через обращение к внешним API. Для определения применения проектами «Self-Hosted Runner» может использоваться инструментарий Gato, анализирующий общедоступные workflow-файлы и логи запуска CI-заданий.

В PyTorch и многих других проектах, использующих «Self-Hosted Runner», запуск сборочных заданий разрешён только разработчикам, изменения которых ранее проходили рецензирование и включались в кодовую базу проекта. Наличие статуса «contributor» при использовании в репозитории настроек по умолчанию даёт возможность запускать обработчики GitHub Actions при передаче pull-запросов и, соответственно, выполнять свой код в любом окружении GitHub Actions Runner, привязанном к репозиторию или курирующей проект организации.

Свързването със статус „contributor“ се оказа лесно за заобикаляне — достатъчно е предварително да бъде изпратена незначителна промяна и да се изчака нейното приемане в кодовата база, след което разработчикът автоматично получава статус на активен участник, чиито pull-заявки са разрешени за тестване в CI инфраструктурата без отделна проверка. За получаване на статуса на активен разработчик по време на експеримента бяха използвани незначителни козметични изменения, свързани с корекция на печатни грешки в документацията. За получаване на достъп до хранилището и хранилището с версии на PyTorch по време на атаката при изпълнение на кода в „Self-Hosted Runner“ беше извършен прихващане на токена на GitHub, използван за достъп до хранилището от процесите на изграждане, както и на AWS ключове, използвани за запазване на резултатите от изграждането.

Проблемът не е специфичен за PyTorch и засяга много други големи проекти, които използват настройки по подразбиране за „Self-Hosted Runner“ в GitHub Actions. Например, споменава се извършването на подобни атаки за внедряване на бекдор в някои големи криптовалутни портфейли и блокчейн проекти с милиардна капитализация, за внасяне на изменения в версиите на Microsoft Deepspeed и TensorFlow, компрометиране на едно от приложенията на компанията CloudFlare, както и за изпълнение на код на компютър в мрежата на Microsoft. Детайлите относно тези инциденти все още не са разкрити. В рамките на действащите програми за Bug Bounty, изследователите са подали над 20 заявки за получаване на награди на стойност няколко стотин хиляди долара.

Източник: opennet.ru