Το GitHub διόρθωσε επιτέλους μια σοβαρή ευπάθεια, που του είχε αναφέρει η ομάδα ασφαλείας της Google, Project Zero. Οι ερευνητές είχαν ενημερώσει το GitHub πριν τρεις μήνες.
Η ευπάθεια επηρέαζε τη λειτουργία Actions του GitHub. Σύμφωνα με τον ερευνητή της Google, Felix Wilhelm, η ευπάθεια καθιστούσε το εργαλείο Actions ευάλωτο σε “injection επιθέσεις“.
Η Google είχε πει ότι πρόκειται για μια πολύ σοβαρή ευπάθεια, ωστόσο το GitHub δεν ανταποκρίθηκε άμεσα καθώς υποστήριξε ότι ήταν μια “μέτρια ευπάθεια ασφαλείας”.
Η ομάδα Google Project Zero συνήθως αποκαλύπτει δημόσια τα σφάλματα που βρίσκει, 90 ημέρες μετά την αναφορά τους στον αρμόδιο. Η περίοδος των 90 ημερών πέρασε και το GitHub δεν είχε ακόμα διορθώσει την ευπάθεια. Οι ερευνητές της Google του έδωσαν προθεσμία άλλες 14 ήμερες αλλά και πάλι δεν έγινε κάτι. Έτσι, αποφάσισαν να αποκαλύψουν την ευπάθεια (στις αρχές Νοεμβρίου).
Μια ημέρα πριν από την προγραμματισμένη αποκάλυψη (αφού είχε δοθεί και παράταση), το GitHub είπε στην Google ότι δεν θα απενεργοποιούσε τα ευάλωτα workflow commands του Actions έως τις 2 Νοεμβρίου και ζήτησε επιπλέον 48 ώρες. Ωστόσο, αυτές οι extra ώρες θα ήταν για να ενημερώσει τους πελάτες για μελλοντική επίλυση του ζητήματος και όχι για τη διόρθωση της ευπάθειας.
Η ερευνητική ομάδα της Google αποφάσισε να αποκαλύψει την ευπάθεια και να μην δώσει παραπάνω χρόνο, αφού είχαν περάσει ήδη 104 ημέρες από την αρχική αναφορά στο GitHub.
Το GitHub διόρθωσε επιτέλους την ευπάθεια την περασμένη εβδομάδα, απενεργοποιώντας τα παλιά runner commands του Actions, “set-env” και “add-path”, όπως είχε προτείνει και ο ερευνητής Wilhelm.
Η διόρθωση κυκλοφόρησε στις 16 Νοεμβρίου, δηλαδή δύο εβδομάδες μετά την αποκάλυψη της ευπάθειας από τη Google.
Όπως είπε και ο Wilhelm, το Action ήταν ευάλωτο σε injection επιθέσεις, λόγω της ευπάθειας που θα μπορούσε να οδηγήσει τελικά σε εκτέλεση κακόβουλου κώδικα.
Τώρα που το GitHub απενεργοποίησε τα δύο ευάλωτα commands, ο Wilhelm ενημέρωσε την αναφορά του και επιβεβαίωσε ότι το πρόβλημα έχει επιλυθεί.
Πηγή: ZDNet
