GitHub Actions हैंडलर में एक भेद्यता के कारण Nixpkgs में पैकेजों के साथ समझौता किया जा सका।

NixOS वितरण और Nix पैकेज प्रबंधक पारिस्थितिकी तंत्र में प्रयुक्त Nixpkgs पैकेज रिपॉजिटरी में पुल अनुरोध सबमिट करते समय स्वचालित रूप से सक्रिय होने वाले GitHub Actions हैंडलर्स में कमज़ोरियों का खुलासा हुआ है। इस कमज़ोरी के कारण एक अनधिकृत उपयोगकर्ता Nixpkgs में होस्ट किए गए सभी पैकेजों के स्रोत कोड को पढ़ने और लिखने की पहुँच प्रदान करने वाला एक टोकन निकाल सकता था। इस टोकन के कारण परियोजना के Git रिपॉजिटरी के माध्यम से किसी भी पैकेज में सीधे संशोधन संभव हो जाता था, जिससे समीक्षा और अनुमोदन प्रक्रियाओं को दरकिनार कर दिया जाता था।

Nixpkgs को हैक करने और किसी भी पैकेज में कस्टम कोड डालने की क्षमता का प्रदर्शन पिछले अक्टूबर में NixCon सम्मेलन में सुरक्षा शोधकर्ताओं द्वारा किया गया था और इसे तुरंत परियोजना के बुनियादी ढाँचे में पैच कर दिया गया था। हालाँकि, हमले का विवरण एक साल बाद ही सामने आया। यह समस्या Nixpkgs GitHub रिपॉजिटरी में GitHub Actions हैंडलर्स के उपयोग से संबंधित थी, जो "pull_request_target" इवेंट से जुड़े होते हैं और नए पुल अनुरोधों पर स्वचालित जाँच करते हैं।

"pull_request" इवेंट के विपरीत, "pull_request_target" में हैंडलर्स को बिल्ड एनवायरनमेंट में पढ़ने/लिखने की पहुँच दी जाती है, जिसके लिए पुल रिक्वेस्ट में पास किए गए डेटा के साथ काम करते समय विशेष सावधानी बरतने की आवश्यकता होती है। "pull_request_target" से जुड़े हैंडलर्स में से एक ने कोडओनर्स-वैलिडेटर यूटिलिटी को बनाकर और कॉल करके पुल रिक्वेस्ट में दी गई "OWNERS" फ़ाइल को वैलिडेट किया: चरण: — उपयोग: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf के साथ: ref: refs/pull/$/merge पथ: pr — रन: nix-build base/ci -A codeownersValidator — रन: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

समस्या यह थी कि अगर OWNERS फ़ाइल का फ़ॉर्मेट गलत था, तो कोडओनर्स-वैलिडेटर यूटिलिटी उस विकृत स्ट्रिंग की सामग्री को मानक, सार्वजनिक रूप से सुलभ लॉग में आउटपुट कर देती। इस हमले में पुल अनुरोध में OWNERS नाम का एक प्रतीकात्मक लिंक डाला जाता था, जो ".credentials" फ़ाइल की ओर इशारा करता था, जो बिल्ड वातावरण में क्रेडेंशियल्स संग्रहीत करती है। परिणामस्वरूप, इस फ़ाइल को संसाधित करने पर एक त्रुटि उत्पन्न हुई और रिपॉजिटरी एक्सेस टोकन वाली पहली पंक्ति सार्वजनिक लॉग में आउटपुट हो गई।

इसके अतिरिक्त, हैंडलर में एक और भेद्यता पाई गई जो editorconfig नियमों की जांच करती है। चरण: — नाम: PR से बदली गई फ़ाइलों की सूची प्राप्त करें रन: gh api […] | jq […] > «$HOME/changed_files» — उपयोग: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 के साथ: ref: refs/pull/$/merge — नाम: EditorConfig की जाँच रन: cat «$HOME/changed_files» | xargs -r editorconfig-checker

इस मामले में, समस्या पुल अनुरोध में प्रत्येक फ़ाइल के साथ editorconfig-checker चलाने के लिए "xargs" उपयोगिता के उपयोग की थी। चूँकि फ़ाइल नामों की पुष्टि नहीं की गई थी, इसलिए कोई हमलावर पुल अनुरोध में विशेष वर्णों वाली फ़ाइल शामिल कर सकता था, जिसे editorconfig-checker चलाते समय कमांड-लाइन तर्कों के रूप में संसाधित किया जाता। उदाहरण के लिए, "--help" फ़ाइल बनाते समय, editorconfig-checker उपलब्ध विकल्पों के बारे में एक संकेत प्रदर्शित करता था।

स्रोत: opennet.ru