GitHub:请再给我2天完善漏洞
漏洞位于GitHub的开发者工作流自动化工具Actions 特征中。根据GitHub 文档,在 GitHub Actions 的仓库中自动化、自定义和执行软件开发工作流程,可以发现、创建和共享操作以执行您喜欢的任何作业(包括 CI/CD),并将操作合并到完全自定义的工作流程中。 Github Actions 支持一个名为workflow commands的特征,这是Action runner和执行action的通信信道。Workflow commands 在runner/src/Runner.Worker/ActionCommandManager.cs 中实现,通过分析所有寻找2个命令maker的执行的action的STDOUT来工作。 该特征的一大问题是极易受到注入攻击的威胁。Runner进程在分析寻找workflow command的打印到STDOUT的每行时,每个打印不可信内容的GitHub action都易受到攻击。在大多数情况下,如果能够设置任意的环境变量,当另一个workflow执行时就会引发远程代码执行。 时间轴 10月1日,GitHub 发布公告承认了该漏洞,并分配了CVE编号CVE-2020-15228,但称该漏洞实际上中危漏洞。 10月12日,谷歌 Project Zero 研究人员联系了GitHub,并主动提出将漏洞公开的时间延长14天,并询问是否需要需要更多的时间来禁用有漏洞的命令。 GitHub 接受了将漏洞公开的时间延迟14天,并预计于10月19日之后禁用有漏洞的命令。因此,谷歌 Project Zero将漏洞公开时间定于11月2日。 10月28日,由于GitHub没有修复漏洞,谷歌 Project Zero 再次联系GitHub称距离漏洞公开的时间不足一周,但是未得到GitHub 回应。由于未收到GitHub 官方回应,Project Zero 联系了非官方人员得到回应称该漏洞将被修复,Project Zero可以按照计划的11月2日公开漏洞。 11月1日,GitHub给出官方回应,但称无法在11月2日禁用有漏洞的命令,并请求额外的2天时间来通知用户该漏洞的相关信息,但这2天并不是修复漏洞的时间,也没有给出明确的漏洞修复时间。 (编辑:源码门户网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |