S\u00e4kerhetsforskare fr\u00e5n Fenrisk har avsl\u00f6jat s\u00e5rbarheter i verktygen Pagure och OBS (Open Build Service), vilket gjorde det m\u00f6jligt att kompromittera paketbyggnadsinfrastrukturen f\u00f6r Fedora och openSUSE. Forskarna demonstrerade att det var m\u00f6jligt att genomf\u00f6ra en attack f\u00f6r att utf\u00f6ra godtycklig kod p\u00e5 servrar med Pagure och OBS, vilket kunde anv\u00e4ndas f\u00f6r att inf\u00f6ra \u00e4ndringar i paketen i Fedora- och openSUSE-repositorierna. <\/p>\n
I Pagure-plattformen, som anv\u00e4nds i Fedora f\u00f6r samarbete kring kod och paketmetadata, har 4 s\u00e5rbarheter identifierats. F\u00f6r att utnyttja de identifierade problemen kr\u00e4vs det att man har ett konto i Pagure, vilket vem som helst kan skaffa (f\u00f6r n\u00e4rvarande \u00e4r 24899 anv\u00e4ndare registrerade p\u00e5 Pagure.io). Tre av problemen m\u00f6jligg\u00f6r att filer kan l\u00e4sas i systemet, och ett problem kan m\u00f6jligg\u00f6ra att k\u00f6ra egen kod p\u00e5. servern<\/a>. Problemen identifierades den 1 januari 2024, rapporterades via bugzilla.redhat.com den 25 april 2024 och \u00e5tg\u00e4rdades i Pagure inom 3 timmar. <\/p>\n Pagure k\u00f6rs under anv\u00e4ndaren git, s\u00e5 det \u00e4r bara filer som tillh\u00f6r den anv\u00e4ndaren som kan skrivas \u00f6ver. F\u00f6r att k\u00f6ra sin kod p\u00e5 servern kan man anv\u00e4nda en tj\u00e4nst f\u00f6r \u00e5tkomst till f\u00f6rr\u00e5d via SSH, d\u00e4r kommandot \u00abbash -c \/usr\/libexec\/pagure\/aclchecker.py\u00bb k\u00f6rs vid \u00e5tkomst. Angriparen kan utnyttja s\u00e5rbarheten f\u00f6r att skriva \u00f6ver filen \u00ab\/srv\/git\/.bashrc\u00bb och denna fil kommer att k\u00f6ras av kommandotolk bash vid anslutning till f\u00f6rr\u00e5det via ssh. <\/p>\n Attacken g\u00e5r ut p\u00e5 att registrera sig i systemet Pagure, skapa ett f\u00f6rr\u00e5d, l\u00e4gga till en fil README.md med ett commit-kommentar av typen \u00ab|| \/bin\/bash\u00bb och skicka en beg\u00e4ran \u00abhttp:\/\/pagure.local:5000\/test\/history\/README.md?identifier=--output=\/srv\/git\/.bashrc\u00bb. Under dessa steg kommer str\u00e4ngen \u00ab34\u04305\u044143 || \/bin\/bash\u00bb att skrivas till filen \u00ab\/srv\/git\/.bashrc\u00bb. F\u00f6r att k\u00f6ra den skapade filen \u00ab\/srv\/git\/.bashrc\u00bb r\u00e4cker det att ansluta till f\u00f6rr\u00e5det via SSH med sitt personliga konto. Utf\u00f6randet av kod med r\u00e4ttigheterna f\u00f6r anv\u00e4ndaren git p\u00e5 servern Pagure m\u00f6jligg\u00f6r kontroll \u00f6ver allt inneh\u00e5ll i f\u00f6rr\u00e5d med paket. <\/ul>\n \n