Des chercheurs en s\u00e9curit\u00e9 de la soci\u00e9t\u00e9 Fenrisk ont r\u00e9v\u00e9l\u00e9 des vuln\u00e9rabilit\u00e9s dans les outils Pagure et OBS (Open Build Service), permettant de compromettre les infrastructures de cr\u00e9ation de paquets des distributions Fedora et openSUSE. Les chercheurs ont d\u00e9montr\u00e9 la possibilit\u00e9 d'effectuer une attaque pour ex\u00e9cuter du code arbitraire sur des serveurs utilisant Pagure et OBS, ce qui pouvait \u00eatre utilis\u00e9 pour injecter des modifications dans les paquets des d\u00e9p\u00f4ts Fedora et openSUSE. <\/p>\n
La plateforme Pagure, utilis\u00e9e dans Fedora pour collaborer sur le code et les m\u00e9tadonn\u00e9es des paquets, a r\u00e9v\u00e9l\u00e9 4 vuln\u00e9rabilit\u00e9s. L'exploitation des probl\u00e8mes d\u00e9couverts n\u00e9cessite un compte sur le service Pagure, que tout le monde peut obtenir (actuellement, 24899 utilisateurs sont enregistr\u00e9s sur Pagure.io). Trois probl\u00e8mes permettent de lire des fichiers sur le syst\u00e8me, et un probl\u00e8me permet d'ex\u00e9cuter son propre code sur le serveur<\/a>. Les probl\u00e8mes ont \u00e9t\u00e9 identifi\u00e9s le 1er janvier 2024, rapport\u00e9s via bugzilla.redhat.com le 25 avril 2024 et corrig\u00e9s dans Pagure en trois heures. <\/p>\n Pagure s'ex\u00e9cute sous l'utilisateur git, il n'est donc possible d'\u00e9craser que les fichiers de cet utilisateur. Pour ex\u00e9cuter son propre code sur le serveur, on peut utiliser un service pour acc\u00e9der au r\u00e9f\u00e9rentiel par SSH, o\u00f9 la commande \u00ab bash -c \/usr\/libexec\/pagure\/aclchecker.py \u00bb est ex\u00e9cut\u00e9e. Un attaquant peut exploiter cette vuln\u00e9rabilit\u00e9 pour \u00e9craser le fichier \u00ab \/srv\/git\/.bashrc \u00bb et ce fichier sera ex\u00e9cut\u00e9 par l'interpr\u00e9teur de commandes bash lors de l'acc\u00e8s au r\u00e9f\u00e9rentiel par SSH. <\/p>\n L'attaque consiste \u00e0 s'inscrire dans le syst\u00e8me Pagure, \u00e0 cr\u00e9er un r\u00e9f\u00e9rentiel, \u00e0 ajouter dans le r\u00e9f\u00e9rentiel un fichier README.md avec un commentaire de commit de type \u00ab || \/bin\/bash \u00bb et \u00e0 envoyer la requ\u00eate \u00ab http:\/\/pagure.local:5000\/test\/history\/README.md?identifier=--output=\/srv\/git\/.bashrc \u00bb. Au cours de ces \u00e9tapes, la ligne de type \u00ab 34\u04305\u044143 || \/bin\/bash \u00bb sera \u00e9crite dans le fichier \u00ab \/srv\/git\/.bashrc \u00bb. Pour ex\u00e9cuter le fichier cr\u00e9\u00e9 \u00ab \/srv\/git\/.bashrc \u00bb, il suffit de se connecter au r\u00e9f\u00e9rentiel par SSH avec son propre compte. L'ex\u00e9cution de code avec les droits de l'utilisateur git sur le serveur Pagure permet de contr\u00f4ler l'int\u00e9gralit\u00e9 du contenu des r\u00e9f\u00e9rentiels contenant des paquets. <\/ul>\n \n