CVE-2024-47179

概要

RSSHubはRSSネットワークです。コミット64e00e7より前の時点で、RSSHubの`docker-test-cont.yml`ワークフローはArtifact Poisoningに対して脆弱であり、リポジトリ全体の乗っ取りにつながる可能性がありました。RSSHubの下流ユーザーはこの問題に対して脆弱ではなく、コミット64e00e7が根本的な問題を修正し、リポジトリを脆弱性のない状態にしました。`docker-test-cont.yml`ワークフローは、`PR - Docker build test`ワークフローが正常に完了したときにトリガーされます。その後、トリガー元のワークフローを起動したPull Requestに関する情報を収集し、PRの本文と送信者に応じていくつかのラベルを設定します。PRに`routes`マークダウンブロックも含まれている場合、`TEST_CONTINUE`環境変数を`true`に設定します。ワークフローはその後、トリガー元のワークフローによってアップロードされたアーティファクトをダウンロードして展開しますが、これには単一の`rsshub.tar.zst`ファイルが含まれていると想定されています。しかし、コミット64e00e7より前は検証が行われず、コンテンツはワークスペースのルートに展開され、既存のファイルを上書きしていました。アーティファクトのコンテンツが検証されていなかったため、悪意のある攻撃者がPull Requestを送信し、圧縮されたDockerイメージである`rsshub.tar.zst`だけでなく、特権ワークフローのコンテキストで任意のコードを実行するスクリプトを含む悪意のある`package.json`ファイルもアップロードすることが可能でした。コミット64e00e7の時点で、このシナリオは対処され、RSSHubリポジトリはもはや脆弱ではありません。

• gha-lab-d9fd584b12研究

  認可されたセキュリティ研究ラボによるCVE-2024-47179（GHSL-2024-178）の再現：RSSHubのdocker-testワークフローにおけるアーティファクトポイズニングによるpwn-requestチェーン（574d053時点のスナップショット）