പൈടോർച്ച് ഇൻഫ്രാസ്ട്രക്ചറിന് നേരെയുള്ള ആക്രമണം, ശേഖരണവും റിലീസുകളും വിട്ടുവീഴ്ച ചെയ്യുക

PyTorch മെഷീൻ ലേണിംഗ് ചട്ടക്കൂടിന്റെ വികസനത്തിൽ ഉപയോഗിച്ച ഇൻഫ്രാസ്ട്രക്ചറിന് നേരെയുള്ള ആക്രമണത്തിന്റെ വിശദാംശങ്ങൾ വെളിപ്പെടുത്തി, ഇത് GitHub, AWS എന്നിവയിലെ പ്രോജക്റ്റ് റിലീസുകൾക്കൊപ്പം റിപ്പോസിറ്ററിയിൽ അനിയന്ത്രിതമായ ഡാറ്റ സ്ഥാപിക്കുന്നതിനും കോഡ് പകരം വയ്ക്കുന്നതിനും മതിയായ ആക്സസ് കീകൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നത് സാധ്യമാക്കി. റിപ്പോസിറ്ററിയുടെ പ്രധാന ശാഖയിൽ ഡിപൻഡൻസികൾ വഴി ഒരു പിൻവാതിൽ ചേർക്കുക. ഗൂഗിൾ, മെറ്റാ, ബോയിംഗ്, ലോക്ക്ഹീഡ് മാർട്ടിൻ തുടങ്ങിയ വലിയ കമ്പനികളെ അവരുടെ പ്രോജക്ടുകളിൽ പൈടോർച്ച് ഉപയോഗിക്കുന്നവരെ ആക്രമിക്കാൻ പൈടോർച്ച് റിലീസ് സ്പൂഫിംഗ് ഉപയോഗിക്കാം. ബഗ് ബൗണ്ടി പ്രോഗ്രാമിന്റെ ഭാഗമായി, പ്രശ്നത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾക്കായി മെറ്റ ഗവേഷകർക്ക് $16250 നൽകി.

റിപ്പോസിറ്ററിയിലേക്ക് അയച്ച പുതിയ മാറ്റങ്ങൾ പരിശോധിക്കുന്നതിനായി റീബിൽഡുകളും റൺ ജോലികളും നടത്തുന്ന തുടർച്ചയായ ഇന്റഗ്രേഷൻ സെർവറുകളിൽ നിങ്ങളുടെ കോഡ് പ്രവർത്തിപ്പിക്കാനുള്ള കഴിവാണ് ആക്രമണത്തിന്റെ സാരം. GitHub പ്രവർത്തനങ്ങളുള്ള സ്വന്തം ബാഹ്യ "സ്വയം-ഹോസ്റ്റഡ് റണ്ണർ" ഹാൻഡ്‌ലറുകൾ ഉപയോഗിക്കുന്ന പ്രോജക്റ്റുകളെ ഈ പ്രശ്നം ബാധിക്കുന്നു. പരമ്പരാഗത GitHub പ്രവർത്തനങ്ങളിൽ നിന്ന് വ്യത്യസ്തമായി, സ്വയം-ഹോസ്റ്റഡ് ഹാൻഡ്‌ലറുകൾ പ്രവർത്തിക്കുന്നത് GitHub ഇൻഫ്രാസ്ട്രക്ചറിലല്ല, മറിച്ച് അവരുടെ സ്വന്തം സെർവറുകളിലോ ഡവലപ്പർ പരിപാലിക്കുന്ന വെർച്വൽ മെഷീനുകളിലോ ആണ്.

നിങ്ങളുടെ സെർവറുകളിൽ അസംബ്ലി ടാസ്‌ക്കുകൾ നിർവ്വഹിക്കുന്നത് ഒരു എന്റർപ്രൈസിന്റെ ആന്തരിക നെറ്റ്‌വർക്ക് സ്കാൻ ചെയ്യാനും എൻക്രിപ്ഷൻ കീകൾക്കും ആക്സസ് ടോക്കണുകൾക്കുമായി ലോക്കൽ FS-ൽ തിരയാനും ബാഹ്യ സംഭരണം അല്ലെങ്കിൽ ക്ലൗഡ് സേവനങ്ങൾ ആക്സസ് ചെയ്യുന്നതിനുള്ള പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് പരിസ്ഥിതി വേരിയബിളുകൾ വിശകലനം ചെയ്യാനും കഴിയുന്ന കോഡിന്റെ സമാരംഭം സംഘടിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. അസംബ്ലി പരിതസ്ഥിതിയുടെ ശരിയായ ഒറ്റപ്പെടലിന്റെ അഭാവത്തിൽ, കണ്ടെത്തിയ രഹസ്യാത്മക ഡാറ്റ ആക്രമണകാരികൾക്ക് ബാഹ്യമായി അയയ്ക്കാൻ കഴിയും, ഉദാഹരണത്തിന്, ബാഹ്യ API-കളിലേക്കുള്ള ആക്സസ് വഴി. പ്രൊജക്‌റ്റുകൾ പ്രകാരം സെൽഫ്-ഹോസ്‌റ്റഡ് റണ്ണറിന്റെ ഉപയോഗം നിർണ്ണയിക്കാൻ, പൊതുവായി ആക്‌സസ് ചെയ്യാവുന്ന വർക്ക്‌ഫ്ലോ ഫയലുകളും CI ടാസ്‌ക് ലോഞ്ച് ലോഗുകളും വിശകലനം ചെയ്യാൻ Gato ടൂൾകിറ്റ് ഉപയോഗിക്കാം.

PyTorch-ലും സെൽഫ്-ഹോസ്‌റ്റഡ് റണ്ണർ ഉപയോഗിക്കുന്ന മറ്റ് നിരവധി പ്രോജക്‌റ്റുകളിലും, മുമ്പ് പിയർ-റിവ്യൂ ചെയ്‌ത് പ്രോജക്‌റ്റിന്റെ കോഡ്‌ബേസിൽ ഉൾപ്പെടുത്തിയിട്ടുള്ള മാറ്റങ്ങൾ ഡെവലപ്പർമാർക്ക് മാത്രമേ ബിൽഡ് ജോലികൾ പ്രവർത്തിപ്പിക്കാൻ അനുവാദമുള്ളൂ. റിപ്പോസിറ്ററിയിലെ ഡിഫോൾട്ട് ക്രമീകരണങ്ങൾ ഉപയോഗിക്കുമ്പോൾ "സംഭാവകൻ" സ്റ്റാറ്റസ് ഉള്ളത്, പുൾ അഭ്യർത്ഥനകൾ അയയ്‌ക്കുമ്പോൾ GitHub ആക്‌ഷൻസ് ഹാൻഡ്‌ലറുകൾ സമാരംഭിക്കുന്നത് സാധ്യമാക്കുന്നു, അതനുസരിച്ച്, ശേഖരണവുമായോ പ്രോജക്റ്റ് മേൽനോട്ടം വഹിക്കുന്ന ഓർഗനൈസേഷനുമായോ ബന്ധപ്പെട്ട ഏതെങ്കിലും GitHub ആക്‌ഷൻസ് റണ്ണർ പരിതസ്ഥിതിയിൽ നിങ്ങളുടെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യുക.

“സംഭാവകൻ” സ്റ്റാറ്റസിലേക്കുള്ള ലിങ്ക് മറികടക്കാൻ എളുപ്പമാണ് - ആദ്യം ഒരു ചെറിയ മാറ്റം സമർപ്പിച്ച് കോഡ് ബേസിലേക്ക് അത് സ്വീകരിക്കുന്നത് വരെ കാത്തിരിക്കുക, അതിനുശേഷം ഡവലപ്പർക്ക് ഒരു സജീവ പങ്കാളിയുടെ പദവി സ്വയമേവ ലഭിക്കും, അവരുടെ പുൾ അഭ്യർത്ഥനകൾ പ്രത്യേക പരിശോധന കൂടാതെ CI ഇൻഫ്രാസ്ട്രക്ചറിൽ പരീക്ഷിക്കാൻ അനുവദിച്ചിരിക്കുന്നു. സജീവമായ ഡെവലപ്പർ പദവി നേടുന്നതിന്, ഡോക്യുമെന്റേഷനിലെ അക്ഷരത്തെറ്റുകൾ ശരിയാക്കുന്നതിനുള്ള ചെറിയ സൗന്ദര്യവർദ്ധക മാറ്റങ്ങൾ പരീക്ഷണത്തിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. PyTorch റിലീസുകളുടെ ശേഖരത്തിലേക്കും സംഭരണത്തിലേക്കും പ്രവേശനം നേടുന്നതിന്, "സെൽഫ്-ഹോസ്‌റ്റഡ് റണ്ണർ" എന്നതിലെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യുമ്പോൾ ആക്രമണം, ബിൽഡ് പ്രോസസുകളിൽ നിന്ന് ശേഖരത്തിലേക്ക് പ്രവേശിക്കാൻ ഉപയോഗിക്കുന്ന GitHub ടോക്കണും ബിൽഡ് ഫലങ്ങൾ സംരക്ഷിക്കാൻ ഉപയോഗിക്കുന്ന AWS കീകളും തടസ്സപ്പെടുത്തി. .

ഈ പ്രശ്നം PyTorch-ന് മാത്രമുള്ളതല്ല കൂടാതെ GitHub പ്രവർത്തനങ്ങളിൽ "സ്വയം-ഹോസ്‌റ്റഡ് റണ്ണർ" എന്നതിനായുള്ള സ്ഥിരസ്ഥിതി ക്രമീകരണങ്ങൾ ഉപയോഗിക്കുന്ന മറ്റ് നിരവധി വലിയ പ്രോജക്റ്റുകളെ ഇത് ബാധിക്കുന്നു. ഉദാഹരണത്തിന്, ചില വലിയ ക്രിപ്‌റ്റോകറൻസി വാലറ്റുകളിലും ഒരു ബില്യൺ ഡോളർ ക്യാപിറ്റലൈസേഷനുള്ള ബ്ലോക്ക്‌ചെയിൻ പ്രോജക്‌ടുകളിലും ബാക്ക്‌ഡോർ ഇൻസ്റ്റാൾ ചെയ്യാനും Microsoft Deepspeed, TensorFlow എന്നിവയുടെ റിലീസുകളിൽ മാറ്റങ്ങൾ വരുത്താനും CloudFlare ആപ്ലിക്കേഷനുകളിലൊന്നിൽ വിട്ടുവീഴ്‌ച ചെയ്യാനും സമാനമായ ആക്രമണങ്ങൾ നടപ്പിലാക്കുന്നത് സൂചിപ്പിച്ചിരുന്നു. മൈക്രോസോഫ്റ്റ് നെറ്റ്‌വർക്കിലെ കമ്പ്യൂട്ടറിലെ കോഡ്. ഈ സംഭവങ്ങളുടെ വിശദാംശങ്ങൾ ഇതുവരെ വെളിപ്പെടുത്തിയിട്ടില്ല. നിലവിലുള്ള ബഗ് ബൗണ്ടി പ്രോഗ്രാമുകൾക്ക് കീഴിൽ, ലക്ഷക്കണക്കിന് ഡോളർ വിലമതിക്കുന്ന റിവാർഡുകൾക്കായി ഗവേഷകർ 20-ലധികം അപേക്ഷകൾ സമർപ്പിച്ചു.

അവലംബം: opennet.ru