PyTorch စက်သင်ယူမှုဘောင် ဖွံ့ဖြိုးတိုးတက်ရေးတွင် အသုံးပြုသည့် အခြေခံအဆောက်အအုံဆိုင်ရာ တိုက်ခိုက်ခံရမှုအသေးစိတ်အချက်အလက်များကို ထုတ်ဖော်ပြသခဲ့ပြီး၊ ၎င်းသည် GitHub နှင့် AWS တွင် ပရောဂျက်ထုတ်မှုများဖြင့် သိုလှောင်ရုံတွင် မတရားသောဒေတာများထားရှိရန် လုံလောက်သောဝင်ရောက်ခွင့်သော့များကို ထုတ်ယူနိုင်စေသည့်အပြင် ကုဒ်အစားထိုးရန်၊ repository ၏ ပင်မဌာနခွဲတွင် မှီခိုမှုမှတစ်ဆင့် backdoor ကိုထည့်ပါ။ PyTorch သည် ၎င်းတို့၏ပရောဂျက်များတွင် PyTorch ကိုအသုံးပြုသည့် Google၊ Meta၊ Boeing နှင့် Lockheed Martin ကဲ့သို့သော ကုမ္ပဏီကြီးများကို တိုက်ခိုက်ရန်အတွက် PyTorch ၏ လိမ်လည်လှည့်ဖြားခြင်းကို အသုံးပြုနိုင်သည်။ Bug Bounty ပရိုဂရမ်၏တစ်စိတ်တစ်ပိုင်းအနေဖြင့်၊ Meta သည် ပြဿနာနှင့်ပတ်သက်သည့် အချက်အလက်အတွက် သုတေသီများအား $16250 ပေးချေခဲ့သည်။
တိုက်ခိုက်မှု၏ အနှစ်သာရမှာ သိုလှောင်မှုသို့ ပေးပို့သော အပြောင်းအလဲအသစ်များကို စမ်းသပ်ရန်အတွက် ပြန်လည်တည်ဆောက်ခြင်းနှင့် အလုပ်များကို လုပ်ဆောင်သည့် ဆက်တိုက်ပေါင်းစည်းထားသော ဆာဗာများတွင် သင့်ကုဒ်ကို လုပ်ဆောင်နိုင်ခြင်းဖြစ်သည်။ ပြဿနာသည် GitHub လုပ်ဆောင်ချက်များဖြင့် ၎င်းတို့၏ ပြင်ပ "Self-Hosted Runner" ကိုင်တွယ်သူများကို အသုံးပြုသည့် ပရောဂျက်များအပေါ် သက်ရောက်မှုရှိပါသည်။ သမားရိုးကျ GitHub လုပ်ဆောင်ချက်များနှင့် မတူဘဲ၊ Self-Hosted handlers များသည် GitHub အခြေခံအဆောက်အဦတွင် မလည်ပတ်သော်လည်း ၎င်းတို့၏ကိုယ်ပိုင်ဆာဗာများ သို့မဟုတ် developer-maintained virtual machines များတွင် လုပ်ဆောင်ပါသည်။
သင့်ဆာဗာများပေါ်တွင် စုဝေးမှုလုပ်ဆောင်စရာများကို လုပ်ဆောင်ခြင်းဖြင့် လုပ်ငန်းတစ်ခု၏အတွင်းပိုင်းကွန်ရက်ကို စကင်န်ဖတ်နိုင်သော ကုဒ်စတင်ခြင်းကို စုစည်းနိုင်စေကာ၊ ကုဒ်ဝှက်ခြင်းသော့များနှင့် အသုံးပြုခွင့်တိုကင်များအတွက် ဒေသတွင်း FS ကို ရှာဖွေကာ ပြင်ပသိုလှောင်မှု သို့မဟုတ် cloud ဝန်ဆောင်မှုများကို အသုံးပြုရန်အတွက် ကန့်သတ်ဘောင်များပါရှိသော သဘာဝပတ်ဝန်းကျင်ဆိုင်ရာ ပြောင်းလဲမှုများကို ပိုင်းခြားစိတ်ဖြာနိုင်စေပါသည်။ စည်းဝေးပွဲပတ်ဝန်းကျင်တွင် သင့်လျော်သော သီးခြားခွဲထားခြင်းမရှိပါက၊ တွေ့ရှိထားသည့် လျှို့ဝှက်အချက်အလက်များကို ပြင်ပ APIs များသို့ ဝင်ရောက်ခြင်းမှတစ်ဆင့် တိုက်ခိုက်သူများထံသို့ ပြင်ပသို့ ပေးပို့နိုင်သည်။ ပရောဂျက်များအလိုက် Self-Hosted Runner ၏အသုံးပြုမှုကို ဆုံးဖြတ်ရန်၊ Gato toolkit ကို အများသူငှာဝင်ရောက်နိုင်သော အလုပ်အသွားအလာဖိုင်များနှင့် CI လုပ်ငန်းစတင်ခြင်းမှတ်တမ်းများကိုခွဲခြမ်းစိတ်ဖြာရန် အသုံးပြုနိုင်သည်။
PyTorch နှင့် Self-Hosted Runner ကိုအသုံးပြုသည့် အခြားပရောဂျက်များစွာတွင်၊ ယခင်က ရွယ်တူချင်းပြန်လည်သုံးသပ်ပြီး ပရောဂျက်၏ကုဒ်ဘေ့စ်တွင် ပါဝင်သော ပြောင်းလဲမှုများအား ဆော့ဖ်ဝဲအင်ဂျင်နီယာများကသာ တည်ဆောက်သည့်အလုပ်များကို လုပ်ဆောင်နိုင်မည်ဖြစ်သည်။ repository ရှိ မူရင်းဆက်တင်များကိုအသုံးပြုသည့်အခါ "ပံ့ပိုးကူညီသူ" အခြေအနေရှိခြင်းသည် ဆွဲယူတောင်းဆိုမှုများပေးပို့သည့်အခါ GitHub Actions ကိုင်တွယ်သူများကို စတင်နိုင်စေပြီး၊ ထို့ကြောင့်၊ repository သို့မဟုတ် ပရောဂျက်ကို ကြီးကြပ်သည့်အဖွဲ့အစည်းနှင့်ဆက်စပ်နေသည့် GitHub Actions Runner ပတ်ဝန်းကျင်တွင် သင့်ကုဒ်ကို လုပ်ဆောင်ပါ။
“ပံ့ပိုးကူညီသူ” အနေအထားသို့ လင့်ခ်သည် ရှောင်ကွင်းရန် လွယ်ကူသွားသည် - အသေးစားပြောင်းလဲမှုတစ်ခုကို ဦးစွာတင်ပြပြီး ကုဒ်အခြေခံသို့ လက်ခံရန်စောင့်ဆိုင်းရန် လုံလောက်သည်၊ ထို့နောက်တွင် ဆော့ဖ်ဝဲရေးသားသူသည် တက်ကြွစွာပါဝင်သူတစ်ဦး၏ အခြေအနေကို အလိုအလျောက်ရရှိခဲ့သည်။ သီးခြားအတည်ပြုချက်မပါဘဲ CI အခြေခံအဆောက်အအုံတွင် စမ်းသပ်ရန် ခွင့်ပြုထားသော ဆွဲငင်အား။ အသက်ဝင်သော ဆော့ဖ်ဝဲရေးသားသူ အဆင့်အတန်းကို ရရှိစေရန်၊ စမ်းသပ်ချက်တွင် စာရွက်စာတမ်းတွင် အမှားကိုပြင်ရန် အလှပြင်ပြောင်းလဲမှု အနည်းငယ်ပါဝင်သည်။ PyTorch ထုတ်ဝေမှုများ၏ သိုလှောင်မှုနှင့် သိုလှောင်မှုသို့ ဝင်ရောက်ခွင့်ရရန်၊ "Self-Hosted Runner" တွင် ကုဒ်ကိုလုပ်ဆောင်နေစဉ် တိုက်ခိုက်ခြင်းသည် တည်ဆောက်မှုလုပ်ငန်းစဉ်များမှ သိုလှောင်ရာသို့ဝင်ရောက်ရန်အသုံးပြုသည့် GitHub တိုကင်ကို ကြားဖြတ်ရရှိခဲ့သည့်အပြင် တည်ဆောက်မှုရလဒ်များကို သိမ်းဆည်းရန်အတွက် အသုံးပြုသည့် AWS သော့များ .
ပြဿနာသည် PyTorch အတွက် သီးခြားမဟုတ်သော်လည်း GitHub လုပ်ဆောင်ချက်များရှိ "Self-Hosted Runner" အတွက် မူရင်းဆက်တင်များကို အသုံးပြုသည့် အခြားသော ကြီးမားသော ပရောဂျက်များစွာကို သက်ရောက်မှုရှိပါသည်။ ဥပမာအားဖြင့်၊ အလားတူတိုက်ခိုက်မှုများကို အကောင်အထည်ဖော်ရာတွင် အချို့သောကြီးမားသော cryptocurrency ပိုက်ဆံအိတ်များနှင့် blockchain ပရောဂျက်များတွင် backdoor ကိုထည့်သွင်းရန်၊ Microsoft Deepspeed နှင့် TensorFlow ၏ထုတ်ဝေမှုများကို ပြောင်းလဲမှုများပြုလုပ်ကာ CloudFlare အပလီကေးရှင်းများထဲမှတစ်ခုအား အပေးအယူလုပ်ပြီး လုပ်ဆောင်ရန်၊ Microsoft ကွန်ရက်ပေါ်ရှိ ကွန်ပျူတာပေါ်တွင် ကုဒ်။ အဆိုပါ ဖြစ်ရပ်အသေးစိတ်ကိုတော့ ထုတ်ဖော်ပြောကြားခြင်း မရှိသေးပါဘူး။ ရှိပြီးသား bug bounty ပရိုဂရမ်များအောက်တွင်၊ သုတေသီများသည် ဒေါ်လာသိန်းပေါင်းများစွာတန်သော ဆုလက်ဆောင်များအတွက် လျှောက်လွှာပေါင်း 20 ကျော်ကို တင်ပြထားပါသည်။
source: opennet.ru