GitHub Actions ह्यान्डलरमा रहेको कमजोरीले Nixpkgs मा रहेका प्याकेजहरूलाई सम्झौता गर्न अनुमति दियो।

NixOS वितरण र Nix प्याकेज प्रबन्धक इकोसिस्टममा प्रयोग हुने Nixpkgs प्याकेज भण्डारमा पुल अनुरोधहरू पेश गर्दा स्वचालित रूपमा आह्वान गरिएका GitHub Actions ह्यान्डलरहरूमा भएका कमजोरीहरू खुलासा गरिएको छ। यो कमजोरीले अनधिकृत प्रयोगकर्तालाई Nixpkgs मा होस्ट गरिएका सबै प्याकेजहरूको स्रोत कोडमा पढ्ने र लेख्ने पहुँच प्रदान गर्ने टोकन निकाल्न अनुमति दियो। यो टोकनले समीक्षा र अनुमोदन प्रक्रियाहरू बाइपास गर्दै परियोजनाको Git भण्डार मार्फत कुनै पनि प्याकेजको प्रत्यक्ष परिमार्जन गर्न अनुमति दियो।

Nixpkgs लाई सम्झौता गर्ने र कुनै पनि प्याकेजमा अनुकूलन कोड इन्जेक्ट गर्ने क्षमता गत अक्टोबरमा NixCon सम्मेलनमा सुरक्षा अनुसन्धानकर्ताहरूले प्रदर्शन गरेका थिए र परियोजनाको पूर्वाधारमा तुरुन्तै प्याच गरिएको थियो। यद्यपि, आक्रमणको विवरण एक वर्ष पछि मात्र खुलासा गरिएको थियो। यो मुद्दा Nixpkgs GitHub भण्डारमा GitHub कार्य ह्यान्डलरहरूको प्रयोगसँग सम्बन्धित थियो, जुन "pull_request_target" घटनामा बाँधिएका छन् र नयाँ पुल अनुरोधहरूमा स्वचालित जाँचहरू गर्छन्।

"pull_request" घटनाको विपरीत, "pull_request_target" मा रहेका ह्यान्डलरहरूलाई निर्माण वातावरणमा पढ्न/लेख्न पहुँच प्रदान गरिन्छ, जसलाई पुल अनुरोधमा पास गरिएको डेटासँग काम गर्दा विशेष हेरचाह आवश्यक पर्दछ। "pull_request_target" मा बाँधिएको ह्यान्डलरहरू मध्ये एकले कोडओनर्स-भ्यालिडेटर उपयोगिता निर्माण र कल गरेर पुल अनुरोधमा प्रदान गरिएको "OWNERS" फाइललाई प्रमाणित गर्‍यो: चरणहरू: — प्रयोग गर्दछ: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf सँग: ref: refs/pull/$/merge path: pr — run: nix-build base/ci -A codeownersValidator — run: result/bin/codeowners-भ्यालिडेटर env: OWNERS_FILE: pr/ci/OWNERS

समस्या यो थियो कि यदि OWNERS फाइल गलत तरिकाले ढाँचा गरिएको थियो भने, codeowners-validator उपयोगिताले विकृत स्ट्रिङको सामग्रीलाई मानक, सार्वजनिक रूपमा पहुँचयोग्य लगमा आउटपुट गर्नेछ। आक्रमणमा पुल अनुरोधमा OWNERS नामक प्रतीकात्मक लिङ्क राख्नु समावेश थियो, जसले ".credentials" फाइललाई औंल्याउँछ, जसले निर्माण वातावरणमा प्रमाणहरू भण्डारण गर्दछ। फलस्वरूप, यो फाइल प्रशोधन गर्दा त्रुटि भयो र भण्डार पहुँच टोकन भएको पहिलो लाइन सार्वजनिक लगमा आउटपुट भयो।

थप रूपमा, सम्पादक कन्फिग नियमहरू जाँच गर्ने ह्यान्डलरमा अर्को जोखिम फेला पर्यो। चरणहरू: — नाम: PR रनबाट परिवर्तन गरिएका फाइलहरूको सूची प्राप्त गर्नुहोस्: gh api […] | jq [ … ] > «$HOME/changed_files» — प्रयोग गर्दछ: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 सँग: ref: refs/pull/$/merge — नाम: सम्पादक कन्फिग रन जाँच गर्दै: cat «$HOME/changed_files» | xargs -r सम्पादक कन्फिग-चेकर

यस अवस्थामा, समस्या पुल अनुरोधमा प्रत्येक फाइलसँग editorconfig-checker चलाउन "xargs" उपयोगिताको प्रयोग थियो। फाइलनामहरू मान्य नभएको हुनाले, आक्रमणकारीले पुल अनुरोधमा विशेष क्यारेक्टरहरू भएको फाइल समावेश गर्न सक्छ, जुन editorconfig-checker चलाउँदा कमाण्ड-लाइन तर्कको रूपमा प्रशोधन गरिनेछ। उदाहरणका लागि, "--help" फाइल सिर्जना गर्दा, editorconfig-checker ले उपलब्ध विकल्पहरूको बारेमा संकेत प्रदर्शन गर्नेछ।

स्रोत: opennet.ru