Pesquisadores do Google divulgam vulnerabilidade grave no GitHub

TecFoco Notícias Uma equipe de pesquisadores do Google chamada Project Zero (GPZ), divulgou uma vulnerabilidade de alta gravidade no recurso de execução de ações do GitHub Romário Leite · 16 de novembro de 2020

Pesquisadores do Google divulgam vulnerabilidade grave

01 Uma equipe de pesquisadores do Google chamada Project Zero (GPZ), divulgou uma vulnerabilidade de alta gravidade no recurso de execução de ações do GitHub, que pode permitir invasores executarem códigos remotamente em sistemas afetados.

Ponto 2

02 O bug foi encontrado por Felix Wilhelm do Project Zero, em 21 de julho. De acordo com Wilhelm, os comandos de fluxo de trabalho do Actions são "altamente vulneráveis a ataques de injeção".

Ponto 3

03 Esses comandos de fluxo de trabalho atuam como um canal de comunicação entre o executor de ação e a ação executada. "O grande problema com esse recurso é que ele é altamente vulnerável a ataques de injeção.

Ponto 4

04 Como o processo de execução analisa cada linha impressa em STDOUT em busca de comandos de fluxo de trabalho, cada ação do Github que imprime conteúdo não confiável como parte de sua execução é vulnerável.

Ponto 5

05 Na maioria dos casos, a capacidade de definir variáveis de ambiente arbitrárias resulta na execução remota de código assim que outro fluxo de trabalho é executado.

Ponto 6

06 Passei algum tempo examinando repositórios Github populares e quase todos os projetos com ações Github um tanto complexas são vulneráveis a essa classe de bug", explicou Wilhelm em um relatório do Project Zero.

Leia a matéria completa

Uma equipe de pesquisadores do Google chamada Project Zero (GPZ), divulgou uma vulnerabilidade de alta gravidade no recurso de execução de ações do GitHub Abrir matéria completa TecFoco Abrir matéria completa