C’è una grossa falla in GitHub Actions, la CI di GitHub, ed è by design
I ricercatori del gruppo Google Project Zero, in particolare Felix Wilhelm, hanno scovato una grana per gli sviluppatori di GitHub Actions, la componente GitLab che gestisce le pipeline CI di promozione del codice (controparte dei GitLab runners).
In questo tweet, Wilhelm spiega di cosa si tratta in maniera molto semplice (ed efficace):
https://t.co/4IZJaIZG4r is an interesting design flaw in Github Actions. Actions that print untrusted data to STDOUT are vulnerable to an injection attack that can be turned into code exec. pic.twitter.com/sO1SB8SKO8
— Felix Wilhelm (@_fel1x) November 2, 2020
sfruttando quindi il comando set-env, che viene eseguito all’interno del workflow dell’Action runner, di fatto la componente che esegue la pipeline, è possibile definire delle variabili d’ambiente e sostanzialmente rendere altamente vulnerabile alle code injection ogni pipeline.
Il problema principale di questa falla è che è, per così dire, by design, ossia insita nel processo di GitHub Actions. Come risolvere quindi? Tagliando la testa al toro, cioè disabilitando (o meglio deprecando) i comandi set-env e add-path, in modo da evitare totalmente la possibilità di utilizzarli (malevolmente o no) nelle pipeline:
Action and workflow authors who are setting environment variables via STDOUT should update any usage of the
set-envandadd-pathworkflow commands to use the new environment files.Gli sviluppatori di action e workflow che impostano le variabili di ambiente tramite STDOUT devono aggiornare qualsiasi utilizzo dei comandi di flusso di lavoro set-env e add-path per utilizzare i nuovi file di ambiente.
Quindi tutto è bene quel che finisce bene. In realtà mica tanto, perché chiaramente questa deprecazione porterà inevitabilmente le pipeline attuali che sfruttano la funzionalità ad andare in errore, perciò la modifica si ripercuoterà a cascata sugli utilizzatori che dovranno, obbligatoriamente e come spiegato sopra, aggiornare il proprio codice delle GitHub Actions.
Sempre meglio comunque di trovarsi una code injection, no?
Se vuoi sostenerci, puoi farlo acquistando qualsiasi cosa dai diversi link di affiliazione che abbiamo nel nostro sito o partendo da qui oppure alcune di queste distribuzioni GNU/Linux che sono disponibili sul nostro negozio online, quelle mancanti possono essere comunque richieste, e su cui trovi anche PC, NAS e il ns ServerOne. Se ti senti generoso, puoi anche donarmi solo 1€ o più se vuoi con PayPal e aiutarmi a continuare a pubblicare più contenuti come questo. Grazie!
Hai dubbi o problemi? Ti aiutiamo noi!
Se vuoi rimanere sempre aggiornato, iscriviti al nostro canale Telegram.Se vuoi ricevere supporto per qualsiasi dubbio o problema, iscriviti alla nostra community Facebook o gruppo Telegram.
Cosa ne pensi? Fateci sapere i vostri pensieri nei commenti qui sotto.
Ti piace quello che leggi? Per favore condividilo con gli altri.
