Ekpughere nkọwa nke mwakpo a na akụrụngwa ejiri na mmepe nke igwe mmụta PyTorch, nke mere ka o kwe omume iwepụ igodo ohere zuru ezu iji tinye data aka ike na ebe nchekwa ahụ na mwepụta ọrụ na GitHub na AWS, yana iji dochie koodu. na isi ngalaba nke ebe nchekwa ma gbakwunye azụ azụ site na ịdabere. Enwere ike iji mkpochapụ PyTorch wakpoo nnukwu ụlọ ọrụ dịka Google, Meta, Boeing na Lockheed Martin na-eji PyTorch na-arụ ọrụ ha. Dịka akụkụ nke mmemme Bug Bounty, Meta kwụrụ ndị nyocha $16250 maka ozi gbasara nsogbu ahụ.
Суть атаки в возможности выполнения своего кода на ndị sava непрерывной интеграции, выполняющих пересборку и выполнение заданий для тестирования новых изменений, отправляемых в репозиторий. Проблема затрагивает проекты, которые используют собственные внешние обработчики «Self-Hosted Runner» с GitHub Actions. В отличие от традиционных GitHub Actions обработчики Self-Hosted выполняются не в инфраструктуре GitHub, а на своих серверах или в виртуальных машинах, поддерживаемых разработчиками.
Ịme ọrụ mgbakọ na sava gị na-enye gị ohere ịhazi mmalite nke koodu nke nwere ike nyochaa netwọk dị n'ime ụlọ ọrụ, chọọ FS mpaghara maka igodo nzuzo na ohere ịnweta, wee nyochaa mgbanwe gburugburu ebe obibi na paramita maka ịnweta nchekwa mpụga ma ọ bụ ọrụ igwe ojii. Na enweghị ikewapụ nke ọma nke gburugburu ebe mgbakọ, enwere ike iziga data nzuzo na mpụga na ndị mwakpo, dịka ọmụmaatụ, site na ịnweta API mpụga. Iji chọpụta iji onye na-agba ọsọ nke onwe ya site na oru ngo, enwere ike iji Gato Toolkit nyochaa faịlụ mgbasa ozi na-enweta n'ihu ọha yana ndekọ mmalite ọrụ CI.
Na PyTorch na ọtụtụ ọrụ ndị ọzọ na-eji onye na-agba ọsọ nke onwe, ọ bụ naanị ndị mmepe nke nyochachara mgbanwe ndị ọgbọ na etinyere na codebase nke oru ngo ka a na-ahapụ ka ha rụọ ọrụ. Inwe ọnọdụ "onye ntinye aka" mgbe ị na-eji ntọala ndabara na ebe nchekwa ahụ na-eme ka o kwe omume ịmalite ndị na-ahụ maka ihe omume GitHub mgbe ị na-eziga arịrịọ ịdọrọ na, ya mere, mebie koodu gị na ebe ọ bụla GitHub Action Runner na-ejikọta na ebe nchekwa ma ọ bụ nzukọ na-ahụ maka ọrụ ahụ.
Njikọ na ọnọdụ "onye na-enye onyinye" wee bụrụ ihe dị mfe ịgafe - ọ ga-ezuru ibu ụzọ nyefee obere mgbanwe ma chere ka a nabata ya na koodu koodu, mgbe nke ahụ gasịrị, onye nrụpụta nwetara ọkwa nke onye na-arụ ọrụ na-akpaghị aka, onye a na-ahapụ ka a nwalee arịrịọ ịdọrọ ya na akụrụngwa CI na-enweghị nkwenye dị iche. Iji nweta ọkwa onye nrụpụta na-arụsi ọrụ ike, nnwale ahụ gụnyere obere mgbanwe ịchọ mma iji mezie typos na akwụkwọ ahụ. Iji nweta ebe nchekwa na nchekwa nke PyTorch wepụtara, mwakpo ahụ mgbe ọ na-eme koodu na onye na-agba ọsọ nke onwe ya na-egbochi GitHub token iji nweta ebe nchekwa site na usoro iwu, yana igodo AWS na-eji chekwaa nsonaazụ ụlọ.
Okwu a abụghị kpọmkwem na PyTorch ma na-emetụta ọtụtụ nnukwu ọrụ ndị ọzọ na-eji ntọala ndabara maka "Onye na-agba ọsọ nke onwe" na GitHub Actions. Dị ka ihe atụ, mmejuputa iwu nke yiri ọgụ e kwuru iji wụnye a backdoor na ụfọdụ nnukwu cryptocurrency wallets na blockchain oru ngo na a ijeri dollar capitalization, mee mgbanwe na ntọhapụ nke Microsoft Deepspeed na TensorFlow, imebi otu n'ime CloudFlare ngwa, na-egbukwa. koodu na kọmputa na netwọk Microsoft. Ekwuputabeghị nkọwa nke ihe omume ndị a. N'okpuru mmemme bounty ahụhụ dị ugbu a, ndị nchọpụta etinyela ihe karịrị ngwa 20 maka ụgwọ ọrụ ruru ọtụtụ narị puku dollar.
isi: opennet.ru
