谷歌 Project Zero 披露了 GitHub Actions 中存在的嚴重安全漏洞。

Actions 主要負責與“動作執行器”(Action Runner)之間的通信工作。 這次問題在于，GitHub Actions 中的工作流命令極易受到注入攻擊。

根據 Project Zero 團隊的披露，當進程解析至 STDOUT 的每一行，以尋找工作流命令時，每個 GitHub Actions 操作都會在執行過程中打印出不受信任的內容。在大多數情況下，設置任意環境變量的功能，會在執行另一個工作流程后立即執行遠程代碼。換言之，這一缺陷使之極易受到注入攻擊。

Project Zero 團隊研究員 Felix Wilhelm 對此評價稱：“實現工作流命令的方式從根本上來說是不安全的。”

7 月 21 日，Project Zero 團隊發現這個漏洞之后通報給 GitHub。通常來說， 漏洞被發現之后，受影響的機構將有 90 天的籌備修復時間。Project Zero 團隊也給 GitHub 提供了 90 天寬限期，截至 10 月 18 日。

GitHub 最終決定棄用易受攻擊的命令，并發出“中等嚴重的安全漏洞”的修補建議，通知開發者更新其工作流程。 但這只是臨時性應對措施，由于問題如 Felix Wilhelm 所說，是“根本性的”不安全問題，長期解決仍需將工作流命令從界內通道移往它處，而這么做又會破壞其它相關代碼。Felix Wilhelm 也無法確定該如何解決這個問題 ，GitHub 并沒有完成修復。

90 天期限到期前，10 月 16 日，GitHub 得到了 Project Zero 團隊提供的額外 14 天寬限期，新截止日期為 11 月 2 日，GitHub 計劃完全禁用相關命令。之后，GitHub 試圖再申請 48 小時的寬限期。但 Project Zero 團隊認為延期并不能解決問題，且有違漏洞披露過程，于是披露了漏洞詳情和概念驗證代碼。

本文轉自OSCHINA。

本文標題：谷歌披露 GitHub 高危漏洞

本文地址：https://www.oschina.net/news/119685/the-github-actions-vulnerability-was-disclosed