CVE-2021-21423

Resumo

`projen` é uma ferramenta de geração de projetos que sintetiza arquivos de configuração de projeto, como `package.json`, `tsconfig.json`, `.gitignore`, GitHub Workflows, `eslint`, `jest` e outros, a partir de uma definição bem tipada escrita em JavaScript. Usuários do tipo de projeto `NodeProject` do projen (incluindo qualquer tipo de projeto derivado dele) incluem um workflow `.github/workflows/rebuild-bot.yml` que pode permitir que qualquer usuário do GitHub acione a execução de código não confiável no contexto do repositório "principal" (em oposição ao de um fork). Em algumas situações, esse código não confiável pode potencialmente conseguir fazer commit no repositório "principal". O workflow rebuild-bot é acionado por comentários que incluem `@projen rebuild` em pull requests para acionar uma reconstrução do projeto projen e atualizar o pull request com os arquivos atualizados. Esse workflow é acionado por um evento `issue_comment` e, portanto, sempre é executado com um `GITHUB_TOKEN` pertencente ao repositório no qual o pull request é feito (isso contrasta com workflows acionados por eventos `pull_request`, que sempre são executados com um `GITHUB_TOKEN` pertencente ao repositório do qual o pull request é feito). Repositórios que não têm proteção de branch configurada em seu branch padrão (normalmente `main` ou `master`) podem possivelmente permitir que um usuário não confiável obtenha acesso a segredos configurados no repositório (como tokens NPM, etc.). A proteção de branch impede essa escalada, pois o `GITHUB_TOKEN` gerenciado não conseguiria modificar o conteúdo de um branch protegido, e os workflows afetados devem ser definidos no branch padrão.

• gha-lab-b9842b12c0PoC

  Laboratório autorizado de pesquisa em segurança reproduzindo CVE-2021-21423 (GHSA-gg2g-m5wc-vccq): solicitação pwn do projen rebuild-bot via issue_comment