Sicherheitslücke bei Github

Googles Sicherheitsforscher vom Project Zero haben eine Schwachstelle bei Github gefunden. Der Schweregrad wird mit hoch angegeben. Das Problem liegt in der Übertragung von Workflow-Befehlen zwischen dem Action Runner und den auszuführenden Actions: Sie ist offenbar äusserst empfindlich auf Injection-Attacken, die das Gesamtsystem manipulieren und stören können. Jede Gibhub-Action kann betroffen sein, die bei der Ausführung nicht vertrauenswürdige Inhalte auf den Kanal Stdout ausgibt, wie der Entdecker des Lecks, Felix Wilhelm, im Issue-Blog von Project Zero festhält.


Schnelle Abhilfe scheint es nicht zu geben, denn Wilhelm meint, "dass die Art, wie Workflow-Befehle implementiert sind, von Grund auf unsicher ist." Eine mögliche Lösung könne sein, Workflow-Befehle in einen vom Ausgangskanal separaten Kanal auszugliedern, zum Beispiel in einen neuen File Descriptor. Dies wiederum wirke sich jedoch negativ auf einen Grossteil des bestehenden Action-Codes aus. Das Fazit von Felix Wilhelm: "Je nach Programmiersprache ist es ziemlich unmöglich, zu garantieren, dass kein nicht vertrauenswürdiger Code in Stdout landet." (ubi)