نقص بزرگ امنیتی GitHub سرانجام پس از 3 ماه برطرف شد
به گزارش کارگروه فناوری اطلاعات سایبربان ؛ تیم Project Zero شرکت گوگل در ماه جولای به GitHub اطلاع داد که ویژگی GitHub Actions آن در برابر حملات تزریق (واردکردن مقادیر غیر امن یا نصب افزونههای ناامن) بسیار آسیبپذیر است. 90 روزبه این شرکت فرصت داده شد تا ایراد را اصلاح کند (بهعلاوه 14 روز مهلت اضافی قبل از اینکه بهصورت عمومی اعلام شود)
GitHub موفق شد این مسئله را در 16 نوامبر با غیرفعال کردن دو دستور قدیمی حل کند. بهعنوانمثال در نسخه قبلی دستور runner “set-env” باعث ایجاد مشکلاتی میشد زیرا توانایی آن در تعریف متغیرهای دلخواه محیط به معنای بهرهبرداری از آن برای شروع حملات تزریق بود.
فلیکس ویلهلم ، محقق Google Project Zero، توضیح داد:
“همانطور که این فرآیند، هر خط چاپشده در STDOUT را به خاطر دستورات workflow تجزیه میکند، هر عملکرد GitHub هم که محتوای نامعتبر را بهعنوان بخشی از اجرای آن چاپ میکند، آسیبپذیر است.” “در بیشتر موارد، توانایی تنظیم متغیرهای دلخواه محیط منجر به اجرای کد بهمحض اجرای workflow دیگر میشود. در تحقیقات خود به مخازن محبوب GitHub رسیدهام و تقریباً هر پروژهای با اقدامات GitHub در معرض این کلاس اشکال است. “
در حال حاضر نقص بزرگ امنیتی GitHub حلشده است
این پچ احتمالاً فقط در کوتاهمدت مؤثر است اما اکنون Project Zero این مشکل را از میان برداشته و 9 اشکال امنیتی حلنشده دیگر را هم به همراه این Patch شناسایی و برطرف کرده است. نقاط ضعف برجستهای که در این Patch برطرف شده بر نرمافزارهای تولیدشده توسط اپل، کوالکام، مایکروسافت و خود گوگل هم تأثیر میگذارد.
