GitHub Actions हँडलरमधील असुरक्षिततेमुळे Nixpkgs मधील पॅकेजेस धोक्यात येऊ शकले.

NixOS वितरण आणि Nix पॅकेज मॅनेजर इकोसिस्टममध्ये वापरल्या जाणाऱ्या Nixpkgs पॅकेज रिपॉझिटरीमध्ये पुल रिक्वेस्ट सबमिट करताना स्वयंचलितपणे वापरल्या जाणाऱ्या GitHub अॅक्शन हँडलर्समधील भेद्यता उघड करण्यात आल्या आहेत. या भेद्यतेमुळे अनधिकृत वापरकर्त्याला Nixpkgs मध्ये होस्ट केलेल्या सर्व पॅकेजेसच्या सोर्स कोडमध्ये रीड आणि राइट अॅक्सेस देणारे टोकन काढता आले. या टोकनमुळे पुनरावलोकन आणि मंजुरी प्रक्रियांना बायपास करून प्रोजेक्टच्या Git रिपॉझिटरीद्वारे कोणत्याही पॅकेजमध्ये थेट बदल करण्याची परवानगी मिळाली.

Nixpkgs शी तडजोड करण्याची आणि कोणत्याही पॅकेजमध्ये कस्टम कोड इंजेक्ट करण्याची क्षमता सुरक्षा संशोधकांनी गेल्या ऑक्टोबरमध्ये NixCon परिषदेत दाखवून दिली होती आणि प्रकल्पाच्या पायाभूत सुविधांमध्ये लगेचच पॅच करण्यात आली होती. तथापि, हल्ल्याची माहिती फक्त एक वर्षानंतर उघड करण्यात आली. ही समस्या Nixpkgs GitHub रिपॉझिटरीमधील GitHub Actions हँडलर्सच्या वापराशी संबंधित होती, जे "pull_request_target" इव्हेंटशी बांधील आहेत आणि नवीन पुल रिक्वेस्टवर स्वयंचलित तपासणी करतात.

"pull_request" इव्हेंटच्या विपरीत, "pull_request_target" मधील हँडलर्सना बिल्ड वातावरणात वाचन/लेखन प्रवेश दिला जातो, ज्यासाठी पुल रिक्वेस्टमध्ये पास केलेल्या डेटासह काम करताना विशेष काळजी घेणे आवश्यक असते. "pull_request_target" ला बांधलेल्या हँडलर्सपैकी एकाने कोडओनर्स-व्हॅलिडेटर युटिलिटी बिल्ड आणि कॉल करून पुल रिक्वेस्टमध्ये प्रदान केलेली "OWNERS" फाइल सत्यापित केली: steps: — वापरते: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf सह: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

समस्या अशी होती की जर OWNERS फाइल चुकीच्या पद्धतीने फॉरमॅट केली गेली असेल, तर codeowners-validator युटिलिटी विकृत स्ट्रिंगची सामग्री मानक, सार्वजनिकरित्या प्रवेशयोग्य लॉगमध्ये आउटपुट करेल. या हल्ल्यात पुल रिक्वेस्टमध्ये OWNERS नावाची एक प्रतीकात्मक लिंक ठेवणे समाविष्ट होते, जी ".credentials" फाइलकडे निर्देशित करते, जी बिल्ड वातावरणात क्रेडेन्शियल्स संग्रहित करते. परिणामी, या फाइलवर प्रक्रिया केल्याने एक त्रुटी आली आणि रिपॉझिटरी अॅक्सेस टोकन असलेली पहिली ओळ सार्वजनिक लॉगमध्ये आउटपुट झाली.

याव्यतिरिक्त, एडिटरकॉन्फिग नियम तपासणाऱ्या हँडलरमध्ये आणखी एक भेद्यता आढळली. पायऱ्या: — नाव: PR मधून बदललेल्या फाइल्सची यादी मिळवा रन: gh api […] | jq [ … ] > «$HOME/changed_files» — वापरते: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 सह: ref: refs/pull/$/merge — नाव: एडिटरकॉन्फिग रन तपासत आहे: cat «$HOME/changed_files» | xargs -r एडिटरकॉन्फिग-चेकर

या प्रकरणात, समस्या म्हणजे पुल रिक्वेस्टमधील प्रत्येक फाइलसोबत editorconfig-checker चालवण्यासाठी "xargs" युटिलिटी वापरणे. फाइलनावांची पडताळणी केलेली नसल्यामुळे, हल्लेखोर पुल रिक्वेस्टमध्ये विशेष वर्ण असलेली फाइल समाविष्ट करू शकतो, जी editorconfig-checker चालवताना कमांड-लाइन वितर्क म्हणून प्रक्रिया केली जाईल. उदाहरणार्थ, "--help" फाइल तयार करताना, editorconfig-checker उपलब्ध पर्यायांबद्दल एक संकेत प्रदर्शित करेल.

स्त्रोत: opennet.ru