Уязвимост в обработчика на GitHub Actions, която позволяваше компрометиране на пакети в Nixpkgs.

Разкрити са данни за уязвимости в обработващите модули на GitHub Actions, които се извикват автоматично при изпращане на pull-заявки в хранилището на пакетите Nixpkgs, използвано в дистрибуцията NixOS и в екосистемата, свързана с пакетния мениджър Nix. Уязвимостта позволяваше на трети лица да извлекат токен, който предоставя достъп за запис и четене на изходния код на всички пакети, разположени в Nixpkgs. Този токен позволяваше директни промени в който и да е пакет чрез Git-хранилището на проекта, заобикаляйки процесите на проверка и рецензиране на промените.

Възможността за компрометиране на Nixpkgs и подмяна на собствен код в който и да е пакет беше демонстрирана от изследователи по сигурността през октомври миналата година на конференцията NixCon и веднага беше поправена в инфраструктурата на проекта. Въпреки това, подробностите за проведената атака бяха разкрити едва година по-късно. Проблемът беше свързан с използването на обработващите модули на GitHub Actions в GitHub-хранилището на Nixpkgs, свързани с събитието „pull_request_target“, които изпълняват автоматизирани проверки при пристигане на нови pull-заявки.

За разлика от събитието „pull_request“, в „pull_request_target“ обработвачите получават достъп за запис и четене до строителната среда, което изисква особено внимание при работа с данните, предавани в pull-заявката. В един от обработващите модули, свързани с „pull_request_target“, беше извършена проверка на файла „OWNERS“, приведен в pull-заявката, за което се събираше и извикваше утилитата codeowners-validator: steps: — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf with: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

Проблемът беше, че в случай на грешка при форматирането на файла OWNERS, утилитата codeowners-validator извеждаше съдържанието на неправилно форматирания ред в стандартния лог, достъпен публично. Атаката се свеждаше до поставяне в pull-заявката на символна връзка с име OWNERS, която сочи към файла „.credentials“, в който в строителната среда се съхраняват идентификационни данни. Съответно, обработката на този файл доведе до грешка и извеждане в публичния лог на първия ред, съдържащ токena за достъп до хранилището.

Освен това беше открита още една уязвимост в обработчика, който извършва проверка на правилата editorconfig. стъпки: — име: Вземете списък с променените файлове от PR run: gh api […] | jq [ … ] > «$HOME/changed_files» — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 с: ref: refs/pull/$/merge — име: Проверка на EditorConfig run: cat «$HOME/changed_files» | xargs -r editorconfig-checker

В този случай проблемът беше в използването на утилитата «xargs» за стартиране на програмата editorconfig-checker с всеки файл от pull-запроса. Тъй като имената на файловете не се проверяваха за коректност, нападателят можеше да добави в pull-запроса файл със специални символи, които биха били обработени при стартиране на утилитата editorconfig-checker като аргументи на командния ред. Например, при създаване на файл «—help», утилитата editorconfig-checker би показала подсказка за наличните опции.

Източник: opennet.ru