פגיעות במטפל הפעולות של GitHub אפשרה פגיעה בחבילות ב-Nixpkgs.

נחשפו פגיעויות ב-GitHub Actions handlers, אשר מופעלות אוטומטית בעת הגשת בקשות pull למאגר החבילות Nixpkgs, המשמש בהפצת NixOS ובמערכת האקולוגית של מנהל החבילות Nix. הפגיעות אפשרה למשתמש לא מורשה לחלץ אסימון המעניק גישת קריאה וכתיבה לקוד המקור של כל החבילות המאוחסנות ב-Nixpkgs. אסימון זה אפשר שינוי ישיר של כל חבילה דרך מאגר Git של הפרויקט, תוך עקיפת תהליכי הבדיקה והאישור.

היכולת לפגוע ב-Nixpkgs ולהזריק קוד מותאם אישית לכל חבילה הודגמה על ידי חוקרי אבטחה באוקטובר האחרון בכנס NixCon ותוקנה מיד בתשתית הפרויקט. עם זאת, פרטי המתקפה נחשפו רק שנה לאחר מכן. הבעיה הייתה קשורה לשימוש ב-GitHub Actions handlers במאגר GitHub של Nixpkgs, אשר קשורים לאירוע "pull_request_target" ומבצעים בדיקות אוטומטיות לאחר בקשות משיכה חדשות.

בשונה מאירוע "pull_request", מטפלים ב-"pull_request_target" מקבלים גישת קריאה/כתיבה לסביבת הבנייה, דבר הדורש זהירות מיוחדת בעת עבודה עם נתונים המועברים בבקשת משיכה. אחד המטפלים המקושר ל-"pull_request_target" אימת את קובץ ה-"OWNERS" שסופק בבקשת המשיכה על ידי בנייה וקריאה לכלי codeowners-validator: שלבים: — משתמש ב: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf עם: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

הבעיה הייתה שאם קובץ ה-OWNERS היה מעוצב בצורה שגויה, כלי השירות codeowners-validator היה מוציא את תוכן המחרוזת הפגומה ליומן הסטנדרטי והנגיש לציבור. ההתקפה כללה הצבת קישור סמלי בשם OWNERS בבקשת המשיכה, המצביע על קובץ ה-".credentials", המאחסן אישורים בסביבת הבנייה. כתוצאה מכך, עיבוד קובץ זה הביא לשגיאה והשורה הראשונה, המכילה את אסימון הגישה למאגר, הופצה ליומן הציבורי.

בנוסף, נמצאה פגיעות נוספת במטפל שבודק את כללי editorconfig. שלבים: — שם: קבל רשימה של קבצים שהשתנו מ-PR run: gh api […] | jq [ … ] > «$HOME/changed_files» — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 with: ref: refs/pull/$/merge — שם: בדיקת EditorConfig run: cat «$HOME/changed_files» | xargs -r editorconfig-checker

במקרה זה, הבעיה הייתה השימוש בכלי "xargs" כדי להפעיל את editorconfig-checker עם כל קובץ בבקשת ה-pull. מכיוון ששמות הקבצים לא אומתו, תוקף יכול היה לכלול קובץ המכיל תווים מיוחדים בבקשת ה-pull, אשר יעובדו כארגומנטים בשורת הפקודה בעת הפעלת editorconfig-checker. לדוגמה, בעת יצירת קובץ "--help", editorconfig-checker יציג רמז לגבי האפשרויות הזמינות.

מקור: OpenNet.ru