GitHub Actions 핸들러의 취약점으로 인해 Nixpkgs의 패키지가 손상될 수 있습니다.

NixOS 배포판과 Nix 패키지 관리자 생태계에서 사용되는 Nixpkgs 패키지 저장소에 풀 리퀘스트를 제출할 때 자동으로 호출되는 GitHub Actions 핸들러의 취약점이 공개되었습니다. 이 취약점을 통해 권한이 없는 사용자가 Nixpkgs에 호스팅된 모든 패키지의 소스 코드에 대한 읽기 및 쓰기 권한을 부여하는 토큰을 추출할 수 있었습니다. 이 토큰을 통해 프로젝트의 Git 저장소를 통해 모든 패키지를 직접 수정할 수 있었으며, 검토 및 승인 절차를 우회할 수 있었습니다.

Nixpkgs를 해킹하여 모든 패키지에 사용자 지정 코드를 삽입할 수 있는 기능은 지난 10월 NixCon 컨퍼런스에서 보안 연구원들에 의해 시연되었으며, 프로젝트 인프라에 즉시 패치되었습니다. 그러나 공격의 세부 사항은 1년 후에야 공개되었습니다. 이 문제는 Nixpkgs GitHub 저장소에서 "pull_request_target" 이벤트에 바인딩되어 새로운 풀 리퀘스트에 대한 자동 검사를 수행하는 GitHub Actions 핸들러 사용과 관련이 있었습니다.

"pull_request" 이벤트와 달리 "pull_request_target"의 핸들러는 빌드 환경에 대한 읽기/쓰기 권한이 부여되므로 풀 리퀘스트에서 전달된 데이터를 다룰 때는 각별한 주의가 필요합니다. "pull_request_target"에 바인딩된 핸들러 중 하나는 codeowners-validator 유틸리티를 빌드하고 호출하여 풀 리퀘스트에 제공된 "OWNERS" 파일의 유효성을 검사했습니다. steps: — uses: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf with: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

문제는 OWNERS 파일의 형식이 잘못 지정되면 codeowners-validator 유틸리티가 잘못된 문자열의 내용을 공개적으로 접근 가능한 표준 로그에 출력한다는 점이었습니다. 공격은 풀 리퀘스트에 OWNERS라는 심볼릭 링크를 삽입하는 것으로 구성되었습니다. 이 링크는 빌드 환경에 자격 증명을 저장하는 ".credentials" 파일을 가리킵니다. 결과적으로 이 파일을 처리하는 과정에서 오류가 발생하여 저장소 액세스 토큰이 포함된 첫 번째 줄이 공개 로그에 출력되었습니다.

또한 editorconfig 규칙을 확인하는 핸들러에서 또 다른 취약점이 발견되었습니다.단계: — 이름: PR에서 변경된 파일 목록 가져오기 실행: gh api […] | jq [ … ] > «$HOME/changed_files» — 사용: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 참조: refs/pull/$/merge — 이름: EditorConfig 확인 실행: cat «$HOME/changed_files» | xargs -r editorconfig-checker

이 경우, 문제는 풀 리퀘스트의 각 파일과 함께 editorconfig-checker를 실행하기 위해 "xargs" 유틸리티를 사용한 것이었습니다. 파일 이름이 검증되지 않았기 때문에 공격자는 풀 리퀘스트에 특수 문자가 포함된 파일을 포함할 수 있었고, 이 파일은 editorconfig-checker 실행 시 명령줄 인수로 처리되었습니다. 예를 들어, "--help" 파일을 생성할 때 editorconfig-checker는 사용 가능한 옵션에 대한 힌트를 표시했습니다.

출처 : opennet.ru