PyTorch पायाभूत सुविधांवर हल्ला, रिपॉजिटरी आणि रिलीझशी तडजोड

PyTorch मशीन लर्निंग फ्रेमवर्कच्या विकासामध्ये वापरल्या जाणाऱ्या पायाभूत सुविधांवर झालेल्या हल्ल्याचे तपशील उघड झाले, ज्यामुळे GitHub आणि AWS वर प्रोजेक्ट रिलीझसह रिपॉजिटरीमध्ये अनियंत्रित डेटा ठेवण्यासाठी पुरेशी ऍक्सेस की काढणे शक्य झाले, तसेच कोड बदलणे शक्य झाले. भांडाराच्या मुख्य शाखेत आणि अवलंबित्वांद्वारे मागील दरवाजा जोडा. PyTorch रिलीज स्पूफिंगचा वापर Google, Meta, Boeing आणि Lockheed Martin सारख्या मोठ्या कंपन्यांवर हल्ला करण्यासाठी केला जाऊ शकतो ज्या त्यांच्या प्रकल्पांमध्ये PyTorch वापरतात. बग बाउंटी कार्यक्रमाचा भाग म्हणून, मेटा ने संशोधकांना समस्येबद्दल माहितीसाठी $16250 दिले.

या हल्ल्याचे सार म्हणजे तुमचा कोड कार्यान्वित करण्याची क्षमता. सर्व्हर कंटिन्युअस इंटिग्रेशन, जे रिपॉझिटरीमध्ये पुश केलेल्या नवीन बदलांची चाचणी घेण्यासाठी टास्क पुन्हा तयार करते आणि चालवते. ही समस्या अशा प्रोजेक्ट्सवर परिणाम करते जे GitHub Actions सोबत त्यांचे स्वतःचे बाह्य "सेल्फ-होस्टेड रनर" हँडलर्स वापरतात. पारंपारिक GitHub Actions च्या विपरीत, सेल्फ-होस्टेड हँडलर्स GitHub च्या पायाभूत सुविधांमध्ये चालण्याऐवजी, स्वतंत्रपणे चालतात. सर्व्हर किंवा व्हर्च्युअल विकसकांनी समर्थित केलेली यंत्रे.

तुमच्या सर्व्हरवर असेंब्ली टास्क कार्यान्वित केल्याने तुम्हाला कोड लॉन्च करण्याची परवानगी मिळते जी एंटरप्राइझचे अंतर्गत नेटवर्क स्कॅन करू शकते, एनक्रिप्शन की आणि ऍक्सेस टोकनसाठी स्थानिक FS शोधू शकते आणि बाह्य स्टोरेज किंवा क्लाउड सेवांमध्ये प्रवेश करण्यासाठी पॅरामीटर्ससह पर्यावरणीय चलांचे विश्लेषण करू शकते. असेंबली वातावरणाच्या योग्य पृथक्करणाच्या अनुपस्थितीत, सापडलेला गोपनीय डेटा बाहेरील हल्लेखोरांना पाठविला जाऊ शकतो, उदाहरणार्थ, बाह्य API मध्ये प्रवेशाद्वारे. प्रकल्पांद्वारे सेल्फ-होस्टेड रनरचा वापर निश्चित करण्यासाठी, गॅटो टूलकिटचा वापर सार्वजनिकरित्या प्रवेश करण्यायोग्य वर्कफ्लो फाइल्स आणि CI टास्क लॉन्च लॉगचे विश्लेषण करण्यासाठी केला जाऊ शकतो.

PyTorch आणि इतर अनेक प्रकल्पांमध्ये जे सेल्फ-होस्टेड रनर वापरतात, फक्त विकासक ज्यांचे बदल पूर्वी पीअर-रिव्ह्यू केले गेले आहेत आणि प्रकल्पाच्या कोडबेसमध्ये समाविष्ट आहेत त्यांना बिल्ड जॉब्स चालवण्याची परवानगी आहे. रेपॉजिटरीमध्ये डीफॉल्ट सेटिंग्ज वापरताना "योगदानकर्ता" स्थिती मिळाल्याने पुल विनंत्या पाठवताना GitHub ॲक्शन हँडलर लाँच करणे शक्य होते आणि त्यानुसार, रेपॉजिटरी किंवा प्रकल्पाचे पर्यवेक्षण करणाऱ्या संस्थेशी संबंधित कोणत्याही GitHub ॲक्शन रनर वातावरणात तुमचा कोड कार्यान्वित करा.

"योगदानकर्ता" स्थितीचा दुवा बायपास करणे सोपे असल्याचे दिसून आले - प्रथम एक किरकोळ बदल सबमिट करणे आणि कोड बेसमध्ये ते स्वीकारले जाण्याची प्रतीक्षा करणे पुरेसे आहे, त्यानंतर विकसकाला स्वयंचलितपणे सक्रिय सहभागीची स्थिती प्राप्त झाली, ज्यांच्या पुल विनंत्या वेगळ्या पडताळणीशिवाय सीआय इन्फ्रास्ट्रक्चरमध्ये तपासण्याची परवानगी आहे. सक्रिय विकासक दर्जा प्राप्त करण्यासाठी, प्रयोगामध्ये दस्तऐवजीकरणातील टायपोस दुरुस्त करण्यासाठी किरकोळ कॉस्मेटिक बदल समाविष्ट आहेत. PyTorch रिलीजच्या रेपॉजिटरी आणि स्टोरेजमध्ये प्रवेश मिळविण्यासाठी, "सेल्फ-होस्टेड रनर" मध्ये कोड कार्यान्वित करताना हल्ल्याने बिल्ड प्रक्रियांमधून रेपॉजिटरीमध्ये प्रवेश करण्यासाठी वापरल्या जाणाऱ्या GitHub टोकन, तसेच बिल्ड परिणाम जतन करण्यासाठी वापरल्या जाणाऱ्या AWS कळा रोखल्या. .

समस्या PyTorch साठी विशिष्ट नाही आणि GitHub क्रियांमध्ये "सेल्फ-होस्टेड रनर" साठी डीफॉल्ट सेटिंग्ज वापरणाऱ्या इतर अनेक मोठ्या प्रकल्पांना प्रभावित करते. उदाहरणार्थ, काही मोठ्या क्रिप्टोकरन्सी वॉलेटमध्ये बॅकडोअर स्थापित करण्यासाठी आणि अब्ज डॉलर्सच्या कॅपिटलायझेशनसह ब्लॉकचेन प्रकल्प, मायक्रोसॉफ्ट डीपस्पीड आणि टेन्सरफ्लोच्या रिलीझमध्ये बदल करण्यासाठी, क्लाउडफ्लेअर ऍप्लिकेशन्सपैकी एक तडजोड करणे आणि कार्यान्वित करण्यासाठी तत्सम हल्ल्यांच्या अंमलबजावणीचा उल्लेख करण्यात आला होता. मायक्रोसॉफ्ट नेटवर्कवरील संगणकावरील कोड. या घटनांचा तपशील अद्याप उघड झालेला नाही. विद्यमान बग बाउंटी कार्यक्रमांतर्गत, संशोधकांनी अनेक लाख डॉलर्सच्या पुरस्कारांसाठी 20 हून अधिक अर्ज सादर केले आहेत.

स्त्रोत: opennet.ru