GitHub:请再给我2天修复漏洞 谷歌:已经给你104天了 - 嘶吼 RoarTalk – 回归最本质的信息安全,互联网安全新媒体,4hou.com

GitHub:请再给我2天修复漏洞 谷歌:已经给你104天了

ang010ela 资讯 2020-11-07 17:54:29
收藏

导语:​谷歌发现GitHub高危安全漏洞,GitHub 104天未修复。

谷歌 Project Zero 研究人员在GitHub中发现了一个高危安全漏洞,并在7月21日提交了GitHub,按照谷歌Project Zero 90天的漏洞公开计划公开漏洞的时间为10月18日。

漏洞概述

漏洞位于GitHub的开发者工作流自动化工具Actions 特征中。根据GitHub 文档,在 GitHub Actions 的仓库中自动化、自定义和执行软件开发工作流程,可以发现、创建和共享操作以执行您喜欢的任何作业(包括 CI/CD),并将操作合并到完全自定义的工作流程中。

Github Actions 支持一个名为workflow commands的特征,这是Action runner和执行action的通信信道。Workflow commands 在runner/src/Runner.Worker/ActionCommandManager.cs 中实现,通过分析所有寻找2个命令maker的执行的action的STDOUT来工作。
该特征的一大问题是极易受到注入攻击的威胁。Runner进程在分析寻找workflow command的打印到STDOUT的每行时,每个打印不可信内容的GitHub action都易受到攻击。在大多数情况下,如果能够设置任意的环境变量,当另一个workflow执行时就会引发远程代码执行。

时间轴

10月1日,GitHub 发布公告承认了该漏洞,并分配了CVE编号CVE-2020-15228,但称该漏洞实际上中危漏洞。

10月12日,谷歌 Project Zero 研究人员联系了GitHub,并主动提出将漏洞公开的时间延长14天,并询问是否需要需要更多的时间来禁用有漏洞的命令。

GitHub 接受了将漏洞公开的时间延迟14天,并预计于10月19日之后禁用有漏洞的命令。因此,谷歌 Project Zero将漏洞公开时间定于11月2日。

10月28日,由于GitHub没有修复漏洞,谷歌 Project Zero 再次联系GitHub称距离漏洞公开的时间不足一周,但是未得到GitHub 回应。由于未收到GitHub 官方回应,Project Zero 联系了非官方人员得到回应称该漏洞将被修复,Project Zero可以按照计划的11月2日公开漏洞。

11月1日,GitHub给出官方回应,但称无法在11月2日禁用有漏洞的命令,并请求额外的2天时间来通知用户该漏洞的相关信息,但这2天并不是修复漏洞的时间,也没有给出明确的漏洞修复时间。

因此,11月2日,Project Zero 按照计划公开了该漏洞。

本文翻译自:https://www.zdnet.com/article/google-to-github-times-up-this-unfixed-high-severity-security-bug-affects-developers/如若转载,请注明原文地址:
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论