পাইটর্চ অবকাঠামোর উপর আক্রমণ, ভান্ডার এবং রিলিজের সাথে আপস করে

পাইটর্চ মেশিন লার্নিং ফ্রেমওয়ার্কের বিকাশে ব্যবহৃত পরিকাঠামোর উপর আক্রমণের বিশদ প্রকাশ করা হয়েছিল, যা GitHub এবং AWS-এ প্রকল্প রিলিজের সাথে রিপোজিটরিতে নির্বিচারে ডেটা রাখার জন্য এবং সেইসাথে কোড প্রতিস্থাপনের জন্য যথেষ্ট অ্যাক্সেস কীগুলি বের করা সম্ভব করেছিল। সংগ্রহস্থলের প্রধান শাখায় এবং নির্ভরতার মাধ্যমে একটি ব্যাকডোর যোগ করুন। পাইটর্চ রিলিজ স্পুফিং গুগল, মেটা, বোয়িং এবং লকহিড মার্টিনের মতো বড় সংস্থাগুলিকে আক্রমণ করতে ব্যবহার করা যেতে পারে যেগুলি তাদের প্রকল্পগুলিতে পাইটর্চ ব্যবহার করে। বাগ বাউন্টি প্রোগ্রামের অংশ হিসাবে, মেটা গবেষকদের সমস্যা সম্পর্কে তথ্যের জন্য $16250 প্রদান করেছে।

আক্রমণের সারমর্ম হল আপনার কোড ক্রমাগত ইন্টিগ্রেশন সার্ভারে চালানোর ক্ষমতা যা রিপোজিটরিতে পাঠানো নতুন পরিবর্তনগুলি পরীক্ষা করার জন্য পুনর্নির্মাণ এবং কাজ চালায়। সমস্যাটি এমন প্রকল্পগুলিকে প্রভাবিত করে যেগুলি GitHub অ্যাকশনগুলির সাথে তাদের নিজস্ব বাহ্যিক "সেলফ-হোস্টেড রানার" হ্যান্ডলার ব্যবহার করে। প্রথাগত গিটহাব অ্যাকশনের বিপরীতে, স্ব-হোস্টেড হ্যান্ডলাররা গিটহাব অবকাঠামোতে চলে না, তবে তাদের নিজস্ব সার্ভারে বা বিকাশকারী-রক্ষণাবেক্ষণ করা ভার্চুয়াল মেশিনে চলে।

আপনার সার্ভারে অ্যাসেম্বলি কাজগুলি সম্পাদন করা আপনাকে কোডের লঞ্চ সংগঠিত করার অনুমতি দেয় যা একটি এন্টারপ্রাইজের অভ্যন্তরীণ নেটওয়ার্ক স্ক্যান করতে পারে, এনক্রিপশন কী এবং অ্যাক্সেস টোকেনগুলির জন্য স্থানীয় FS অনুসন্ধান করতে পারে এবং বহিরাগত স্টোরেজ বা ক্লাউড পরিষেবাগুলি অ্যাক্সেস করার জন্য প্যারামিটার সহ পরিবেশগত ভেরিয়েবল বিশ্লেষণ করতে পারে৷ সমাবেশের পরিবেশের যথাযথ বিচ্ছিন্নতার অনুপস্থিতিতে, পাওয়া গোপনীয় ডেটা আক্রমণকারীদের কাছে বাহ্যিকভাবে পাঠানো যেতে পারে, উদাহরণস্বরূপ, বহিরাগত API-তে অ্যাক্সেসের মাধ্যমে। প্রকল্পগুলি স্ব-হোস্টেড রানার ব্যবহার করছে কিনা তা নির্ধারণ করতে, গ্যাটো টুলকিটটি সর্বজনীনভাবে উপলব্ধ ওয়ার্কফ্লো ফাইল এবং CI কাজের লঞ্চ লগ বিশ্লেষণ করতে ব্যবহার করা যেতে পারে।

PyTorch এবং অন্যান্য অনেক প্রকল্পে যেগুলি স্ব-হোস্টেড রানার ব্যবহার করে, শুধুমাত্র সেই বিকাশকারীরা যাদের পরিবর্তনগুলি পূর্বে পিয়ার-রিভিউ করা হয়েছে এবং প্রকল্পের কোডবেসে অন্তর্ভুক্ত করা হয়েছে তাদের বিল্ড জব চালানোর অনুমতি দেওয়া হয়। রিপোজিটরিতে ডিফল্ট সেটিংস ব্যবহার করার সময় "কন্ট্রিবিউটর" স্ট্যাটাস থাকলে পুল রিকোয়েস্ট পাঠানোর সময় GitHub অ্যাকশন হ্যান্ডলার চালু করা সম্ভব হয় এবং সেই অনুযায়ী, রিপোজিটরি বা প্রোজেক্টের তত্ত্বাবধানকারী সংস্থার সাথে যুক্ত যেকোন গিটহাব অ্যাকশন রানার পরিবেশে আপনার কোড চালানো সম্ভব।

"অবদানকারী" স্থিতির লিঙ্কটি বাইপাস করা সহজ বলে প্রমাণিত হয়েছে - প্রথমে একটি ছোট পরিবর্তন জমা দেওয়া এবং এটি কোড বেসে গৃহীত হওয়ার জন্য অপেক্ষা করা যথেষ্ট, তারপরে বিকাশকারী স্বয়ংক্রিয়ভাবে একজন সক্রিয় অংশগ্রহণকারীর স্থিতি পেয়েছে, যার পুল অনুরোধ আলাদা যাচাই ছাড়াই সিআই পরিকাঠামোতে পরীক্ষা করার অনুমতি দেওয়া হয়। সক্রিয় বিকাশকারীর মর্যাদা অর্জনের জন্য, পরীক্ষায় ডকুমেন্টেশনে টাইপো সংশোধন করার জন্য ছোটখাটো প্রসাধনী পরিবর্তনগুলি অন্তর্ভুক্ত ছিল। পাইটর্চ রিলিজের রিপোজিটরি এবং স্টোরেজ অ্যাক্সেস পেতে, "সেলফ-হোস্টেড রানার"-এ কোড চালানোর সময় আক্রমণটি বিল্ড প্রসেস থেকে রিপোজিটরি অ্যাক্সেস করার জন্য ব্যবহৃত গিটহাব টোকেনকে বাধা দেয়, সেইসাথে বিল্ড ফলাফলগুলি সংরক্ষণ করতে ব্যবহৃত AWS কীগুলি। .

সমস্যাটি PyTorch-এর জন্য নির্দিষ্ট নয় এবং GitHub অ্যাকশনে "সেলফ-হোস্টেড রানার" এর জন্য ডিফল্ট সেটিংস ব্যবহার করে এমন অনেক বড় প্রকল্পকে প্রভাবিত করে। উদাহরণ স্বরূপ, অনুরূপ আক্রমণ বাস্তবায়নের কথা উল্লেখ করা হয়েছে কিছু বৃহৎ ক্রিপ্টোকারেন্সি ওয়ালেট এবং ব্লকচেইন প্রকল্পে একটি বিলিয়ন-ডলার ক্যাপিটালাইজেশন সহ একটি ব্যাকডোর ইনস্টল করা, মাইক্রোসফ্ট ডিপস্পিড এবং টেনসরফ্লো-এর রিলিজে পরিবর্তন করা, ক্লাউডফ্লেয়ার অ্যাপ্লিকেশনগুলির মধ্যে একটির সাথে আপস করা এবং কার্যকর করা। মাইক্রোসফ্ট নেটওয়ার্কে একটি কম্পিউটারে কোড। এসব ঘটনার বিস্তারিত এখনো প্রকাশ করা হয়নি। বিদ্যমান বাগ বাউন্টি প্রোগ্রামের অধীনে, গবেষকরা কয়েক লাখ ডলার মূল্যের পুরষ্কারের জন্য 20টিরও বেশি আবেদন জমা দিয়েছেন।

উত্স: opennet.ru