Haavatavus GitHub Actions'i töötlejas, mis võimaldas komprimeerida pakette Nixpkgs

Avalikustatud teave GitHub Actions'i töötlejate haavatavuste kohta, mis käivitatakse automaatselt, kui tehakse pull-päringuid pakettide Nixpkgs hoidlasse, mida kasutatakse NixOS-i ja Nix paketihalduri ökosüsteemis. Haavatavus võimaldas kolmandatel isikutel eraldada tokeni, mis andis juurdepääsu kirjutamiseks ja lugemiseks kõigile Nixpkgs'is paiknevatele lähtekoodipakettidele. Antud token võimaldas otse muudatusi teha igas paketis projekti Git-reatsioonis, jättes tähelepanuta muudatusete kontrollimise ja ülevaatamise protsessid.

Nixpkgs-i komprimeerimise ja oma koodi asendamise võimalust demonstreerisid küberjulgeoleku teadlased möödunud aasta oktoobris NixCon konverentsil ning see kõrvaldati koheselt projekti infrastruktuuris. Siiski, rünnaku üksikasjad avalikustati alles aasta pärast. Probleem oli seotud Nixpkgs GitHub hoidla töötlejate kasutamisega, mis olid seotud 'pull_request_target' sündmusega ja viisid automaatsete kontrollide läbiviimisele uute pull-päringute saabumise korral.

Erinevalt 'pull_request' sündmusest, annavad 'pull_request_target' töötlejatele juurdepääsu kirjutamiseks ja lugemiseks kogumiskeskkonnale, mis nõuab erilist tähelepanu andmete töötlemisel, mis on edastatud pull-päringus. Ühes 'pull_request_target' seotud töötlejas kontrolliti pull-päringus esitatud 'OWNERS' faili, mille jaoks koguti ja kutsuti esile utiliit codeowners-validator: steps: — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf with: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

Probleem oli selles, et juhul, kui 'OWNERS' faili vormingus ilmnes viga, väljastas utiliit codeowners-validator mittesobiva vormingu rea sisu standardlogisse, mis oli avalikult kättesaadav. Rünnak piirdus sümboolse lingi paigutamisega pull-päringusse nimega OWNERS, mis viitas failile '.credentials', kus kogumiskeskkonnas asuvad mandaadid. Seega viis selle faili töötlemine veani ja selle tulemusena kuvati esimeses reas olev juurdepääsutokeni sisu avalikus logis.

Lisaks leiti veel üks haavatavus toimetajas, mis kontrollib editorconfigi reegleid. steps: — name: Hangi muutunud failide nimekiri PR-ist run: gh api […] | jq [ … ] > „$HOME/changed_files” — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 with: ref: refs/pull/$/merge — name: Kontrolli EditorConfig run: cat „$HOME/changed_files” | xargs -r editorconfig-checker

Antud juhul oli probleem utiliidi „xargs” kasutamine, et käivitada editorconfig-checker programmi iga failiga pull-requestis. Kuna failide nimesid ei kontrollitud kehtivuse osas, võis ründaja esitada pull-requestis faili erimärkidega, mis töödeldi käivitamisel editorconfig-checker utiliidina käsurea argumentidena. Näiteks, kui luua fail „—help”, näitaks editorconfig-checker utiliit olemasolevaid valikute vihjeid.

Allikas: opennet.ru