CVE-2021-21423

Résumé

`projen` est un outil de génération de projets qui synthétise des fichiers de configuration de projet tels que `package.json`, `tsconfig.json`, `.gitignore`, les GitHub Workflows, `eslint`, `jest`, et plus encore, à partir d'une définition bien typée écrite en JavaScript. Les utilisateurs du type de projet `NodeProject` de projen (y compris tout type de projet qui en dérive) incluent un workflow `.github/workflows/rebuild-bot.yml` qui peut permettre à n'importe quel utilisateur GitHub de déclencher l'exécution de code non fiable dans le contexte du dépôt « principal » (par opposition à celui d'un fork). Dans certaines situations, ce code non fiable pourrait potentiellement être en mesure de committer dans le dépôt « principal ». Le workflow rebuild-bot est déclenché par des commentaires incluant `@projen rebuild` sur une pull request pour déclencher une reconstruction du projet projen, et mettre à jour la pull request avec les fichiers mis à jour. Ce workflow est déclenché par un événement `issue_comment`, et s'exécute donc toujours avec un `GITHUB_TOKEN` appartenant au dépôt dans lequel la pull request est effectuée (contrairement aux workflows déclenchés par des événements `pull_request`, qui s'exécutent toujours avec un `GITHUB_TOKEN` appartenant au dépôt à partir duquel la pull request est effectuée). Les dépôts qui ne disposent pas d'une protection de branche configurée sur leur branche par défaut (généralement `main` ou `master`) pourraient potentiellement permettre à un utilisateur non fiable d'accéder aux secrets configurés sur le dépôt (tels que les jetons NPM, etc.). La protection de branche empêche cette escalade, car le `GITHUB_TOKEN` géré ne serait pas en mesure de modifier le contenu d'une branche protégée et les workflows concernés doivent être définis sur la branche par défaut.

• gha-lab-b9842b12c0PoC

  Laboratoire de recherche en sécurité autorisé reproduisant CVE-2021-21423 (GHSA-gg2g-m5wc-vccq) : requête pwn du rebuild-bot de projen via issue_comment