據(jù)研究人員聲稱，該漏洞使GitHub Action的工作流命令很容易受到注入攻擊。
谷歌Project Zero的研究人員已在GitHub中發(fā)現(xiàn)了一個高危漏洞；他們表示，該漏洞讓攻擊者可以在受影響的系統(tǒng)上遠(yuǎn)程執(zhí)行代碼。
該漏洞是Project Zero的Felix Wilhelm在7月份發(fā)現(xiàn)的。研究團(tuán)隊隨后向GitHub告知了其平臺中的這個漏洞，并給予GitHub?90天的期限（截至10月18日）以解決該問題。
Wilhelm在周二發(fā)布到網(wǎng)上的帖子中稱，他通過審查源代碼發(fā)現(xiàn)了這個漏洞，發(fā)覺漏洞影響GitHub Actions的工作流命令。
GitHub中的工作流命令用于在執(zhí)行的動作與Action Runner（動作執(zhí)行器）之間提供一條通信通道。
Wilhelm表示，GitHub Action的工作流命令很容易受到注入攻擊。
他說：“當(dāng)動作執(zhí)行器進(jìn)程解析打印到STDOUT的每一行以尋找工作流命令時，在執(zhí)行過程中打印輸出不可信內(nèi)容的每個GitHub動作都很容易受到攻擊?！?/section>
“在大多數(shù)情況下，能夠設(shè)置任意環(huán)境變量導(dǎo)致了一旦執(zhí)行另一個工作流，就遠(yuǎn)程執(zhí)行代碼?！?/section>
Wilhelm表示，GitHub Action中的工作流命令是以一種“根本就不安全“的方式實現(xiàn)的，因此修復(fù)該漏洞可能是個棘手的過程。
據(jù)Wilhelm聲稱，廢棄命令語法有望提供一種短期解決辦法，而永久修復(fù)該漏洞則需要將工作流命令移至某種越界（out-of-bound）通道（這也會影響其他的依賴代碼）。
GitHub在上個月發(fā)布的一份安全公告中通知用戶，由于平臺出現(xiàn)了一個“危險程度中等的安全漏洞”，一些易受攻擊的命令已被棄用。該公告敦促用戶更新工作流。
GitHub的公告稱：“GitHub Actions執(zhí)行器中發(fā)現(xiàn)了一個危險程度中等的安全漏洞，該漏洞可以讓工程流中的環(huán)境變量和路徑注入將不可信數(shù)據(jù)記錄到STDOUT中?！?/section>
“這可能導(dǎo)致環(huán)境變量在不是工作流創(chuàng)建者本意的情況下被引入或被修改?！?/section>
“為了解決該問題，我們引入了一組新文件來管理工作流中的環(huán)境和路徑更新。如果您使用自我托管的執(zhí)行器，請確保將其更新到版本2.273.1或更高版本?！?/section>
10月16日，谷歌給予GitHub?14天的寬限期，以完全禁用相關(guān)命令。
11月2日，谷歌將該漏洞的詳細(xì)信息公之于眾，同時公開了表明如何可以利用該漏洞的概念證明（PoC）代碼。
Project Zero團(tuán)隊在披露GitHub漏洞幾天前剛透露了一個新的Windows零日漏洞的詳細(xì)信息。他們表示，黑客正在積極利用該漏洞，在Windows計算機(jī)上運(yùn)行惡意程序。
眾所周知，Project Zero團(tuán)隊歷來有披露著名軟件產(chǎn)品中關(guān)鍵漏洞的傳統(tǒng)，包括Windows 10、iOS和macOS內(nèi)核及其他軟件產(chǎn)品。
今年早些時候，該團(tuán)隊宣布改變其披露政策，目的是讓供應(yīng)商有更多的時間為它們的應(yīng)用軟件中發(fā)現(xiàn)的安全漏洞開發(fā)“全面徹底”的補(bǔ)丁。
該團(tuán)隊表示，根據(jù)修改后的政策，即使漏洞已在截至日期之前予以修復(fù)，它也會等待至少90天，才會公開披露安全漏洞的詳細(xì)信息。
現(xiàn)在，如果供應(yīng)商認(rèn)為自己無法在90天內(nèi)修復(fù)上報的漏洞，還可以向谷歌要求再給予14天的寬限期。
旺旺客服
-
速度網(wǎng)絡(luò)服務(wù)商
絡(luò)服務(wù)商&site=cntaobao&s=1&charset=utf-8)
電子郵箱
-
sudu@yunjiasu.cc
