URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 122316
[ Назад ]

Исходное сообщение
"Уязвимость в GitHub Actions, допускающая подстановку команд"

Отправлено opennews , 04-Ноя-20 11:19 
Компания Google раскрыла информацию о методе эксплуатации уязвимости (CVE-2020-15228) в механизме GitHub Actions, предназначенном для прикрепления обработчиков для автоматизации различных операций в GitHub. Например, при помощи GitHub Actions можно выполнить определённые проверки и тесты при совершении коммитов или автоматизировать обработку новых Issues. Уязвимость вызвана тем, что обмен командами между процессом запуска Action и запускаемым действием (Action) производится через стандартный поток (STDOUT) - Actions Runner парсит стандартный поток, формируемый в процессе выполнения действий, и выделяет в нём маркеры команд "##[command parameter1=data;]command-value..."...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=54023


Содержание

Сообщения в этом обсуждении
"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 11:19 
Неделя гитхаба, все идет отлично.  

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Qwerty , 04-Ноя-20 12:10 
Б-же, какое же лицемерие. До покупки Майкрософтом "свободное" сообщество сочувствовало или, в лучшем случае, не замечало, то после начинаются скакания и радостные вопли на любую проблему хорошей, в общем-то, системы, популярной во всём мире.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 12:41 
Да всегда она дерьмо было, зачем тут скакать с кастрюльками на голове? Изначально надо было игнорировать и они бы быстро схлопнулись.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 12:59 
Ну да, мы не любим Майкрософт, это не секрет.

Майки к этому приложили множество усилий. Теперь пожинают плоды.


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 13:40 
Да всем с....ть на вас. Пожинают плоды они в виде собирания денег с таких лохопедов как ты. То с гитхаба копеечку, то с азура.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено m.makhno , 04-Ноя-20 11:20 
с июля знали, подготовить к ноябрю не успели, отказ в ещё одной отсрочке получили, патч таки выпустили... лол

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено пох. , 04-Ноя-20 12:27 
Вероятнее всего, они чуть менее тyпые чем ты, и то, что они не успели выпустить - не заключалось в блокировке намертво команд, на которые завязана куча работающих скриптов, с оставлением других потенциальных дыр, потому что иначе вообще все сломается, а предполагало более осторожное решение. Которое никакой google zero в клювике не принес, это работа, ее сделать надо.

Но гугловоды, разумеется, не могли упустить случая подгадить чужому проекту, тем более когда все формальные реверансы соблюдены и вроде как они не при делах.


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено m.makhno , 04-Ноя-20 12:39 
> гугловоды, разумеется, не могли упустить случая подгадить чужому проекту

У Google на GitHub 2к реп - так оно им надо?


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено пох. , 04-Ноя-20 15:23 
Так ведь не у гугля, а у рабов гугля - сам гугль свое никому не отдаст, у него все в надежной внутренней заначке, на гитхабе лежат кости, кинутые забесплатно-нате-жрите (гугль, кстати, весьма разборчив в том, что выкидывать), все равно ненужно.

И даже если гитхап прям завтра сдохнет - гуглю от этого никакого особого расстройства. А рабы...ну в гитляп переедут, или еще куда.

А вот просто сделать пакость конкурирующей компании, раз она так подставилась - почему же ж нет.

Никакого другого смысла прождав пол-года не согласиться подождать еще пару недель - лично я не вижу.


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Иваня , 04-Ноя-20 11:58 
Капец, GitHub разваливается на глазах! Внукам буду рассказывать, как умирал крупнейший архив open source. Такими темпами от GitHub останется только код в Арктике (см. GitHub Archive Program)

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено m.makhno , 04-Ноя-20 12:08 
Отставить панику, Иваня. Всё идёт по плану. Какому? Одной M$ известно.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 15:05 
>  GitHub останется только код в Арктике

А ты уверен что он там есть ? Дешевая ПР акция какбы


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 12:13 
Успокойтесь уже. Ну решила себя порекламтровать контора с ее руководством. Ну другие примчались в этом помогать. Так теперь нужно крик на весь рунет об этом поднимать?

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 14:34 
Чёт я не понял как и куда кто-то может подставить своё действие. Если я использую чужую action, она могла, может и всегда будет мочь сделать абсолютно что угодно в рамках запуска action, разве нет? Это вполне ожидаемо.

А вообще должен сказать что попробовал миграцию с Travis (который скурвился - время ожидания в очереди выросло до десятков часов, хотят чтобы пользователи мигрировали на travis.com с ограничениями, который запрашивает невменяемых доступов с полным r/w к репозиториям) на actions и очень доволен. CI на actions работает в разы быстрее, не требует выдачи доступов каким-то третьим сервисам, образы ubuntu там новее и лучше устроены с точки зрения свежего софта, например работабщий pg13 из коробки, сразу есть винда, что позволяет отказаться ещё и от yблюдского appveyor, и конфиг получается намного чище и гранулярнее. Всем советую.


"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Чума , 04-Ноя-20 14:52 
Злоумышленник может написать любой код для PR. Именно поэтому, нельзя билдить каждый PR от случайных людей.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 16:00 
Запрет на ## в issue.title решило бы проблему?

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено пох. , 04-Ноя-20 18:55 
для тех кто парсит issue title - решило бы. Для тех кто парсит что-то другое - не решило бы.

Ибо нехрен мешать необработанные данные с кодом.



"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Аноним , 04-Ноя-20 22:47 
Славные ручки микрософт.

"Уязвимость в GitHub Actions, допускающая подстановку команд"
Отправлено Ordu , 05-Ноя-20 00:19 
Здравствуй, дырявый unix-way! Давненько на опеннете не писали про тупейшие ошибки вызываемые пайпами, переменными окружениями и дебильным способом передачи аргументов дочернему процессу.