ការវាយប្រហារលើហេដ្ឋារចនាសម្ព័ន្ធ PyTorch ធ្វើឱ្យខូចខាតដល់ឃ្លាំង និងការចេញផ្សាយ

ព័ត៌មានលម្អិតនៃការវាយប្រហារលើហេដ្ឋារចនាសម្ព័ន្ធដែលប្រើក្នុងការអភិវឌ្ឍន៍ក្របខ័ណ្ឌសិក្សាម៉ាស៊ីន PyTorch ត្រូវបានបង្ហាញ ដែលធ្វើឱ្យវាអាចទាញយកសោចូលប្រើប្រាស់បានគ្រប់គ្រាន់ដើម្បីដាក់ទិន្នន័យតាមអំពើចិត្តនៅក្នុងឃ្លាំងជាមួយនឹងការចេញផ្សាយគម្រោងនៅលើ GitHub និង AWS ក៏ដូចជាការជំនួសកូដផងដែរ។ នៅក្នុងសាខាសំខាន់នៃឃ្លាំង និងបន្ថែម backdoor តាមរយៈភាពអាស្រ័យ។ ការក្លែងបន្លំការចេញផ្សាយ PyTorch អាចត្រូវបានប្រើដើម្បីវាយប្រហារក្រុមហ៊ុនធំ ៗ ដូចជា Google, Meta, Boeing និង Lockheed Martin ដែលប្រើ PyTorch នៅក្នុងគម្រោងរបស់ពួកគេ។ ជាផ្នែកមួយនៃកម្មវិធី Bug Bounty Meta បានបង់ប្រាក់ឱ្យអ្នកស្រាវជ្រាវចំនួន $16250 សម្រាប់ព័ត៌មានអំពីបញ្ហា។

ខ្លឹមសារនៃការវាយប្រហារគឺសមត្ថភាពក្នុងការដំណើរការកូដរបស់អ្នកនៅលើម៉ាស៊ីនមេរួមបញ្ចូលគ្នាជាបន្តបន្ទាប់ដែលធ្វើការបង្កើតឡើងវិញ និងដំណើរការការងារដើម្បីសាកល្បងការផ្លាស់ប្តូរថ្មីដែលបានផ្ញើទៅកាន់ឃ្លាំង។ បញ្ហានេះប៉ះពាល់ដល់គម្រោងដែលប្រើឧបករណ៍ដោះស្រាយ "Self-Hosted Runner" ខាងក្រៅរបស់ពួកគេជាមួយនឹងសកម្មភាព GitHub ។ មិនដូចសកម្មភាព GitHub ប្រពៃណីទេ អ្នកដោះស្រាយការបង្ហោះដោយខ្លួនឯងមិនដំណើរការលើហេដ្ឋារចនាសម្ព័ន្ធ GitHub ទេ ប៉ុន្តែនៅលើម៉ាស៊ីនមេរបស់ពួកគេផ្ទាល់ ឬនៅក្នុងម៉ាស៊ីននិម្មិតដែលរក្សាដោយអ្នកអភិវឌ្ឍន៍។

ការអនុវត្តភារកិច្ចដំឡើងនៅលើម៉ាស៊ីនមេរបស់អ្នកអនុញ្ញាតឱ្យអ្នករៀបចំការចាប់ផ្តើមនៃកូដដែលអាចស្កេនបណ្តាញខាងក្នុងរបស់សហគ្រាស ស្វែងរក FS មូលដ្ឋានសម្រាប់សោអ៊ិនគ្រីប និងសញ្ញាសម្ងាត់ចូលប្រើប្រាស់ និងវិភាគអថេរបរិស្ថានជាមួយនឹងប៉ារ៉ាម៉ែត្រសម្រាប់ការចូលប្រើកន្លែងផ្ទុកខាងក្រៅ ឬសេវាកម្មពពក។ អវត្ដមាននៃភាពឯកោត្រឹមត្រូវនៃបរិស្ថានការជួបប្រជុំគ្នា ទិន្នន័យសម្ងាត់ដែលបានរកឃើញអាចត្រូវបានផ្ញើទៅខាងក្រៅទៅកាន់អ្នកវាយប្រហារ ឧទាហរណ៍តាមរយៈការចូលទៅកាន់ APIs ខាងក្រៅ។ ដើម្បីកំណត់ការប្រើប្រាស់កម្មវិធីគ្រប់គ្រងខ្លួនឯងដោយគម្រោង ប្រអប់ឧបករណ៍ Gato អាចត្រូវបានប្រើដើម្បីវិភាគឯកសារលំហូរការងារដែលអាចចូលប្រើបានជាសាធារណៈ និងកំណត់ហេតុចាប់ផ្តើមការងារ CI ។

នៅក្នុង PyTorch និងគម្រោងជាច្រើនទៀតដែលប្រើកម្មវិធីគ្រប់គ្រងខ្លួនឯង មានតែអ្នកអភិវឌ្ឍន៍ដែលការផ្លាស់ប្តូរពីមុនត្រូវបានពិនិត្យដោយមិត្តភ័ក្តិ និងរួមបញ្ចូលនៅក្នុងមូលដ្ឋានកូដរបស់គម្រោងត្រូវបានអនុញ្ញាតឱ្យដំណើរការការងារសាងសង់។ ការមានស្ថានភាព "អ្នករួមចំណែក" នៅពេលប្រើការកំណត់លំនាំដើមនៅក្នុងឃ្លាំងធ្វើឱ្យវាអាចដំណើរការកម្មវិធីដោះស្រាយ GitHub Actions នៅពេលផ្ញើសំណើទាញ ហើយប្រតិបត្តិកូដរបស់អ្នកនៅក្នុងបរិយាកាស GitHub Actions Runner ណាមួយដែលពាក់ព័ន្ធជាមួយឃ្លាំង ឬអង្គការដែលគ្រប់គ្រងគម្រោង។

តំណភ្ជាប់ទៅកាន់ស្ថានភាព "អ្នករួមចំណែក" ប្រែទៅជាងាយស្រួលក្នុងការឆ្លងកាត់ - វាគ្រប់គ្រាន់ហើយក្នុងការដាក់ស្នើការផ្លាស់ប្តូរបន្តិចបន្តួចជាមុនសិន ហើយរង់ចាំឱ្យវាទទួលយកទៅក្នុងមូលដ្ឋានកូដ បន្ទាប់ពីនោះអ្នកអភិវឌ្ឍន៍បានទទួលស្ថានភាពនៃអ្នកចូលរួមសកម្មដោយស្វ័យប្រវត្តិ។ សំណើទាញរបស់វាត្រូវបានអនុញ្ញាតឱ្យសាកល្បងនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធ CI ដោយគ្មានការផ្ទៀងផ្ទាត់ដាច់ដោយឡែក។ ដើម្បីសម្រេចបាននូវស្ថានភាពអ្នកអភិវឌ្ឍន៍សកម្ម ការពិសោធន៍បានរួមបញ្ចូលការផ្លាស់ប្តូរគ្រឿងសម្អាងតិចតួច ដើម្បីកែកំហុសក្នុងឯកសារ។ ដើម្បីទទួលបានការចូលទៅកាន់ឃ្លាំង និងការផ្ទុកនៃការចេញផ្សាយ PyTorch ការវាយប្រហារខណៈពេលកំពុងដំណើរការកូដនៅក្នុង "Self-Hosted Runner" បានស្ទាក់ចាប់សញ្ញាសម្ងាត់ GitHub ដែលប្រើដើម្បីចូលប្រើឃ្លាំងពីដំណើរការសាងសង់ ក៏ដូចជាគ្រាប់ចុច AWS ដែលប្រើដើម្បីរក្សាទុកលទ្ធផលសាងសង់។ .

បញ្ហានេះមិនជាក់លាក់ចំពោះ PyTorch ហើយប៉ះពាល់ដល់គម្រោងធំៗជាច្រើនទៀតដែលប្រើការកំណត់លំនាំដើមសម្រាប់ "Self-Hosted Runner" នៅក្នុង GitHub Actions។ ជាឧទាហរណ៍ ការអនុវត្តការវាយប្រហារស្រដៀងគ្នានេះត្រូវបានគេលើកឡើងដើម្បីដំឡើង backdoor នៅក្នុងកាបូប cryptocurrency និងគម្រោង blockchain ធំៗមួយចំនួនដែលមានអក្សរធំរាប់ពាន់លានដុល្លា ធ្វើការផ្លាស់ប្តូរចំពោះការចេញផ្សាយរបស់ Microsoft Deepspeed និង TensorFlow សម្របសម្រួលកម្មវិធី CloudFlare មួយ ហើយក៏ប្រតិបត្តិផងដែរ។ កូដនៅលើកុំព្យូទ័រនៅលើបណ្តាញ Microsoft ។ ព័ត៌មាន​លម្អិត​នៃ​ឧប្បត្តិហេតុ​ទាំង​នេះ​មិន​ទាន់​ត្រូវ​បាន​គេ​បង្ហាញ​នៅ​ឡើយ​ទេ។ នៅក្រោមកម្មវិធីផ្តល់រង្វាន់ដែលមានស្រាប់ អ្នកស្រាវជ្រាវបានដាក់ពាក្យស្នើសុំច្រើនជាង 20 សម្រាប់រង្វាន់ដែលមានតម្លៃរាប់សែនដុល្លារ។

ប្រភព: opennet.ru