Напад на инфраструктурата на PyTorch, компромитирајќи го складиштето и изданијата

Беа откриени детали за нападот врз инфраструктурата користена во развојот на рамката за машинско учење PyTorch, што овозможи да се извлечат клучеви за пристап доволни за поставување произволни податоци во складиштето со изданија на проекти на GitHub и AWS, како и да се замени кодот во главната гранка на складиштето и додајте задна врата преку зависности. Измислувањето на издавањето на PyTorch може да се користи за напад на големи компании како Google, Meta, Boeing и Lockheed Martin кои користат PyTorch во своите проекти. Како дел од програмата Bug Bounty, Мета им плати на истражувачите 16250 долари за информации за проблемот.

Суштината на нападот е можноста да го извршите вашиот код на сервери за континуирана интеграција кои вршат обнова и извршуваат задачи за тестирање на нови промени испратени во складиштето. Проблемот влијае на проектите кои користат свои надворешни управувачи на „Self-Hosted Runner“ со GitHub Actions. За разлика од традиционалните GitHub Actions, Self-hosted handlers не работат на инфраструктурата GitHub, туку на нивните сопствени сервери или во виртуелни машини што се одржуваат од развивачите.

Извршувањето на задачите за склопување на вашите сервери ви овозможува да организирате стартување на код што може да ја скенира внатрешната мрежа на претпријатието, да пребарувате во локалната FS за клучеви за шифрирање и токени за пристап и да ги анализирате променливите на животната средина со параметри за пристап до надворешно складирање или облак услуги. Во отсуство на соодветна изолација на околината за склопување, пронајдените доверливи податоци може да се испратат до напаѓачи надвор, на пример, преку пристап до надворешни API. За да се одреди употребата на самодомаќин ранер по проекти, комплетот со алатки Gato може да се користи за анализирање на јавно достапни датотеки на работниот тек и дневници за стартување задачи CI.

Во PyTorch и многу други проекти кои користат Self-Hosted Runner, само програмерите чии промени биле претходно прегледани и вклучени во базата на кодови на проектот смеат да извршуваат работни задачи. Имањето статус „придонесувач“ при користење на стандардните поставки во складиштето овозможува да се стартуваат управувачите на GitHub Actions кога се испраќаат барања за повлекување и, соодветно, да се изврши вашиот код во која било околина на GitHub Actions Runner поврзана со складиштето или организацијата што го надгледува проектот.

Врската до статусот „придонесувач“ се покажа дека е лесна за заобиколување - доволно е прво да поднесете мала промена и да почекате да биде прифатена во базата на кодови, по што развивачот автоматски го доби статусот на активен учесник, чии барања за повлекување се дозволени да се тестираат во CI инфраструктурата без посебна верификација. За да се постигне статус на активен програмер, експериментот вклучи мали козметички промени за да се поправат печатните грешки во документацијата. За да се добие пристап до складиштето и складирањето на изданијата на PyTorch, нападот додека се извршуваше кодот во „Само-хостиран тркач“ го пресретна токенот GitHub што се користеше за пристап до складиштето од процесите на градење, како и копчињата AWS што се користат за зачувување на резултатите од изградбата .

Проблемот не е специфичен за PyTorch и влијае на многу други големи проекти кои ги користат стандардните поставки за „Self-Hosted Runner“ во GitHub Actions. На пример, имплементацијата на слични напади беше спомната за да се инсталира задна врата во некои големи паричници за криптовалути и блокчејн проекти со капитализација од милијарда долари, да се направат промени во изданијата на Microsoft Deepspeed и TensorFlow, да се компромитира една од апликациите CloudFlare, а исто така да се изврши код на компјутер на мрежата на Microsoft. Детали за овие инциденти се уште не се соопштени. Според постоечките програми за баунти за грешки, истражувачите поднеле повеќе од 20 апликации за награди во вредност од неколку стотици илјади долари.

Извор: opennet.ru