CVE-2024-41127

सारांश

Monkeytype एक न्यूनतम और अनुकूलन योग्य टाइपिंग परीक्षण है। Monkeytype अपने ci-failure-comment.yml GitHub Workflow में Code Injection के माध्यम से Poisoned Pipeline Execution के प्रति संवेदनशील है, जिससे हमलावर pull-requests write access प्राप्त कर सकते हैं। ci-failure-comment.yml workflow तब ट्रिगर होता है जब Monkey CI workflow पूरा होता है। जब यह चलता है, तो यह ट्रिगर करने वाले workflow द्वारा अपलोड किए गए एक artifact को डाउनलोड करेगा और ./pr_num/pr_num.txt artifact की सामग्री को steps.pr_num_reader.outputs.content WorkFlow चर को सौंप देगा। यह सत्यापित नहीं किया जाता है कि चर वास्तव में एक संख्या है और बाद में इसे एक JS स्क्रिप्ट में इंटरपोलेट किया जाता है, जिससे एक हमलावर निष्पादित किए जाने वाले कोड को बदल सकता है। यह समस्या pull-requests write access की ओर ले जाती है। यह भेद्यता 24.30.0 में ठीक की गई है।

• gha-lab-83342297e0अनुसंधान

  अधिकृत सुरक्षा-अनुसंधान प्रयोगशाला जो CVE-2024-41127 (GHSA-wcjf-5464-4wq9) को पुनरुत्पादित करती है: ci-failure-comment.yml में आर्टिफैक्ट-नियंत्रित कोड इंजेक्शन के माध्यम से विषाक्त पाइपलाइन निष्पादन। monkeytypegame/monkeytype @ deeea0f का स्नैपशॉट।