Wyciek adresu do zgłoszeń pozwala wgrać kod i uruchomić CI/CD w cudzym imieniu

Prywatny adres e-mail do zakładania zgłoszeń w popularnej platformie do hostowania kodu i CI/CD działa jak dane logowania, a poprawki na razie nie ma. Według badaczy, którzy zgłosili problem, kto zdobędzie ten adres, może wysłać na niego łatkę, którą platforma zapisze jako commit w imieniu ofiary, także w gałęzi main, oraz uruchomić zadania CI/CD z jej uprawnieniami. Platforma nie sprawdza nadawcy wiadomości, a token zawarty w adresie według dokumentacji nie wygasa.

Kogo dotyczy

Każdego użytkownika platformy, którego adres do zgłoszeń wyciekł. Adres wygląda na przypisany do jednego projektu, ale token jest wspólny dla wszystkich projektów, do których konto ma dostęp, publicznych i prywatnych. Skala zależy od roli: adres konta z rolą gościa jest prawie bezużyteczny, adres opiekuna projektu daje dostęp do chronionych gałęzi i sekretów CI/CD. Atakujący potrzebuje też ścieżki i numerycznego identyfikatora projektu, a projekty publiczne podają oba.