PyTorch ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਹਮਲਾ, ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਰੀਲੀਜ਼ਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨਾ

ਪਾਈਟੋਰਚ ਮਸ਼ੀਨ ਲਰਨਿੰਗ ਫਰੇਮਵਰਕ ਦੇ ਵਿਕਾਸ ਵਿੱਚ ਵਰਤੇ ਗਏ ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਹਮਲੇ ਦੇ ਵੇਰਵੇ ਪ੍ਰਗਟ ਕੀਤੇ ਗਏ ਸਨ, ਜਿਸ ਨਾਲ GitHub ਅਤੇ AWS 'ਤੇ ਪ੍ਰੋਜੈਕਟ ਰੀਲੀਜ਼ਾਂ ਦੇ ਨਾਲ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਆਰਬਿਟਰੇਰੀ ਡੇਟਾ ਰੱਖਣ ਲਈ ਲੋੜੀਂਦੀ ਪਹੁੰਚ ਕੁੰਜੀਆਂ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਸੀ, ਨਾਲ ਹੀ ਕੋਡ ਨੂੰ ਬਦਲਣਾ ਵੀ ਸੰਭਵ ਹੋ ਗਿਆ ਸੀ। ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਮੁੱਖ ਸ਼ਾਖਾ ਵਿੱਚ ਅਤੇ ਨਿਰਭਰਤਾ ਦੁਆਰਾ ਇੱਕ ਬੈਕਡੋਰ ਜੋੜੋ। ਪਾਈਟੋਰਚ ਰੀਲੀਜ਼ ਸਪੂਫਿੰਗ ਦੀ ਵਰਤੋਂ ਗੂਗਲ, ​​ਮੈਟਾ, ਬੋਇੰਗ ਅਤੇ ਲਾਕਹੀਡ ਮਾਰਟਿਨ ਵਰਗੀਆਂ ਵੱਡੀਆਂ ਕੰਪਨੀਆਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੋ ਆਪਣੇ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਪਾਈਟੌਰਚ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ। ਬੱਗ ਬਾਊਂਟੀ ਪ੍ਰੋਗਰਾਮ ਦੇ ਹਿੱਸੇ ਵਜੋਂ, ਮੈਟਾ ਨੇ ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਸਮੱਸਿਆ ਬਾਰੇ ਜਾਣਕਾਰੀ ਲਈ $16250 ਦਾ ਭੁਗਤਾਨ ਕੀਤਾ।

ਹਮਲੇ ਦਾ ਸਾਰ ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਸਰਵਰਾਂ 'ਤੇ ਚਲਾਉਣ ਦੀ ਯੋਗਤਾ ਹੈ ਜੋ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਭੇਜੀਆਂ ਗਈਆਂ ਨਵੀਆਂ ਤਬਦੀਲੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਮੁੜ ਨਿਰਮਾਣ ਅਤੇ ਨੌਕਰੀਆਂ ਨੂੰ ਚਲਾਉਂਦੇ ਹਨ। ਇਹ ਮੁੱਦਾ ਉਹਨਾਂ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਜੋ GitHub ਐਕਸ਼ਨਾਂ ਦੇ ਨਾਲ ਆਪਣੇ ਬਾਹਰੀ "ਸਵੈ-ਹੋਸਟਡ ਰਨਰ" ਹੈਂਡਲਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਪਰੰਪਰਾਗਤ GitHub ਐਕਸ਼ਨਾਂ ਦੇ ਉਲਟ, ਸਵੈ-ਹੋਸਟਡ ਹੈਂਡਲਰ GitHub ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਨਹੀਂ ਚੱਲਦੇ, ਪਰ ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਸਰਵਰਾਂ 'ਤੇ ਜਾਂ ਡਿਵੈਲਪਰ ਦੁਆਰਾ ਬਣਾਈਆਂ ਗਈਆਂ ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ 'ਤੇ ਚੱਲਦੇ ਹਨ।

ਤੁਹਾਡੇ ਸਰਵਰਾਂ 'ਤੇ ਅਸੈਂਬਲੀ ਕਾਰਜਾਂ ਨੂੰ ਚਲਾਉਣਾ ਤੁਹਾਨੂੰ ਕੋਡ ਦੇ ਲਾਂਚ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਜੋ ਕਿਸੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਦੇ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਨੂੰ ਸਕੈਨ ਕਰ ਸਕਦਾ ਹੈ, ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਅਤੇ ਐਕਸੈਸ ਟੋਕਨਾਂ ਲਈ ਸਥਾਨਕ FS ਦੀ ਖੋਜ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਬਾਹਰੀ ਸਟੋਰੇਜ ਜਾਂ ਕਲਾਉਡ ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ ਮਾਪਦੰਡਾਂ ਦੇ ਨਾਲ ਵਾਤਾਵਰਨ ਵੇਰੀਏਬਲ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਸਕਦਾ ਹੈ। ਅਸੈਂਬਲੀ ਵਾਤਾਵਰਣ ਦੀ ਸਹੀ ਅਲੱਗ-ਥਲੱਗਤਾ ਦੀ ਅਣਹੋਂਦ ਵਿੱਚ, ਪਾਇਆ ਗਿਆ ਗੁਪਤ ਡੇਟਾ ਹਮਲਾਵਰਾਂ ਨੂੰ ਬਾਹਰੋਂ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਬਾਹਰੀ APIs ਤੱਕ ਪਹੁੰਚ ਦੁਆਰਾ। ਪ੍ਰੋਜੈਕਟਾਂ ਦੁਆਰਾ ਸਵੈ-ਹੋਸਟਡ ਰਨਰ ਦੀ ਵਰਤੋਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, ਗੈਟੋ ਟੂਲਕਿੱਟ ਦੀ ਵਰਤੋਂ ਜਨਤਕ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਵਰਕਫਲੋ ਫਾਈਲਾਂ ਅਤੇ ਸੀਆਈ ਟਾਸਕ ਲਾਂਚ ਲੌਗਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

PyTorch ਅਤੇ ਹੋਰ ਬਹੁਤ ਸਾਰੇ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਜੋ ਸਵੈ-ਹੋਸਟਡ ਰਨਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਸਿਰਫ਼ ਉਹਨਾਂ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਜਿਨ੍ਹਾਂ ਦੇ ਬਦਲਾਵਾਂ ਦੀ ਪੀਅਰ-ਸਮੀਖਿਆ ਕੀਤੀ ਗਈ ਹੈ ਅਤੇ ਪ੍ਰੋਜੈਕਟ ਦੇ ਕੋਡਬੇਸ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ, ਉਹਨਾਂ ਨੂੰ ਬਿਲਡ ਜੌਬ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਡਿਫੌਲਟ ਸੈਟਿੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ "ਯੋਗਦਾਨਕਰਤਾ" ਸਥਿਤੀ ਹੋਣ ਨਾਲ ਪੁੱਲ ਬੇਨਤੀਆਂ ਭੇਜਣ ਵੇਲੇ GitHub ਐਕਸ਼ਨ ਹੈਂਡਲਰ ਨੂੰ ਲਾਂਚ ਕਰਨਾ ਸੰਭਵ ਹੋ ਜਾਂਦਾ ਹੈ ਅਤੇ, ਇਸਦੇ ਅਨੁਸਾਰ, ਰਿਪੋਜ਼ਟਰੀ ਜਾਂ ਪ੍ਰੋਜੈਕਟ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਵਾਲੀ ਸੰਸਥਾ ਨਾਲ ਜੁੜੇ ਕਿਸੇ ਵੀ GitHub ਐਕਸ਼ਨ ਰਨਰ ਵਾਤਾਵਰਣ ਵਿੱਚ ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਚਲਾਓ।

"ਯੋਗਦਾਨਕਰਤਾ" ਸਥਿਤੀ ਦਾ ਲਿੰਕ ਬਾਈਪਾਸ ਕਰਨਾ ਆਸਾਨ ਸਾਬਤ ਹੋਇਆ - ਪਹਿਲਾਂ ਇੱਕ ਮਾਮੂਲੀ ਤਬਦੀਲੀ ਨੂੰ ਦਰਜ ਕਰਨਾ ਅਤੇ ਇਸਨੂੰ ਕੋਡ ਬੇਸ ਵਿੱਚ ਸਵੀਕਾਰ ਕੀਤੇ ਜਾਣ ਦੀ ਉਡੀਕ ਕਰਨਾ ਕਾਫ਼ੀ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਡਿਵੈਲਪਰ ਨੂੰ ਆਪਣੇ ਆਪ ਇੱਕ ਸਰਗਰਮ ਭਾਗੀਦਾਰ ਦੀ ਸਥਿਤੀ ਪ੍ਰਾਪਤ ਹੋ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਦੀਆਂ ਪੁੱਲ ਬੇਨਤੀਆਂ ਨੂੰ ਵੱਖਰੇ ਤਸਦੀਕ ਤੋਂ ਬਿਨਾਂ CI ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਟੈਸਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਸਰਗਰਮ ਡਿਵੈਲਪਰ ਸਥਿਤੀ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਪ੍ਰਯੋਗ ਵਿੱਚ ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਗਲਤੀਆਂ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ ਮਾਮੂਲੀ ਕਾਸਮੈਟਿਕ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। PyTorch ਰੀਲੀਜ਼ਾਂ ਦੀ ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਸਟੋਰੇਜ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, "ਸੈਲਫ-ਹੋਸਟਡ ਰਨਰ" ਵਿੱਚ ਕੋਡ ਨੂੰ ਚਲਾਉਂਦੇ ਹੋਏ ਹਮਲੇ ਨੇ ਬਿਲਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਤੋਂ ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ ਵਰਤੇ ਗਏ GitHub ਟੋਕਨ ਨੂੰ ਰੋਕਿਆ, ਨਾਲ ਹੀ ਬਿਲਡ ਨਤੀਜਿਆਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ AWS ਕੁੰਜੀਆਂ। .

ਇਹ ਮੁੱਦਾ PyTorch ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ ਅਤੇ ਕਈ ਹੋਰ ਵੱਡੇ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਜੋ GitHub ਐਕਸ਼ਨਾਂ ਵਿੱਚ "ਸਵੈ-ਹੋਸਟਡ ਰਨਰ" ਲਈ ਡਿਫੌਲਟ ਸੈਟਿੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਕੁਝ ਵੱਡੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਵਾਲਿਟ ਅਤੇ ਬਲਾਕਚੈਨ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਇੱਕ ਬਿਲੀਅਨ-ਡਾਲਰ ਪੂੰਜੀਕਰਣ ਦੇ ਨਾਲ ਇੱਕ ਬੈਕਡੋਰ ਸਥਾਪਤ ਕਰਨ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਡੀਪਸਪੀਡ ਅਤੇ ਟੈਨਸਰਫਲੋ ਦੇ ਰੀਲੀਜ਼ ਵਿੱਚ ਬਦਲਾਅ ਕਰਨ, CloudFlare ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ, ਅਤੇ ਚਲਾਉਣ ਲਈ ਸਮਾਨ ਹਮਲਿਆਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦਾ ਜ਼ਿਕਰ ਕੀਤਾ ਗਿਆ ਸੀ। ਮਾਈਕਰੋਸਾਫਟ ਨੈੱਟਵਰਕ 'ਤੇ ਕੰਪਿਊਟਰ 'ਤੇ ਕੋਡ. ਇਨ੍ਹਾਂ ਘਟਨਾਵਾਂ ਦੇ ਵੇਰਵਿਆਂ ਦਾ ਅਜੇ ਤੱਕ ਖੁਲਾਸਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਮੌਜੂਦਾ ਬੱਗ ਬਾਊਂਟੀ ਪ੍ਰੋਗਰਾਮਾਂ ਦੇ ਤਹਿਤ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਕਈ ਸੌ ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਇਨਾਮਾਂ ਲਈ 20 ਤੋਂ ਵੱਧ ਅਰਜ਼ੀਆਂ ਜਮ੍ਹਾਂ ਕੀਤੀਆਂ ਹਨ।

ਸਰੋਤ: opennet.ru