Devnoscope

لا تتحقق العديد من مسارات القضايا (issues) في واجهة برمجة تطبيقات REST مما إذا كان المستودع مؤرشفًا. بينما تمنع واجهة الويب إجراء تغييرات على القضايا وطلبات السحب في المستودعات المؤرشفة، يمكن للمستخدم المصرح له تجاوز هذه القيود عبر واجهة برمجة التطبيقات لتحرير القضايا أو إغلاقها أو حذفها، وتغيير التصنيفات والمواعيد النهائية، وإدارة الوقت المتتبع وساعات الإيقاف، وإضافة التفاعلات، وتغيير حظر القضايا، وتثبيت القضايا. يؤدي ذلك إلى تعديل البيانات التي يهدف الأرشفة إلى تجميدها.

توجد ثغرة في آلية الهروب من بيئة الحماية (sandbox) في محرك البرامج النصية للملحق الخاص بـ alf.io، وهو نظام مفتوح المصدر لحجز التذاكر. يمكن للمسؤول المصادق عليه تنفيذ أوامر تعسفية خاصة بنظام التشغيل على الخادم. يستخدم النظام بيئة Rhino معزولة (sandboxed) لتنفيذ جافا سكريبت (JavaScript) مقيدة؛ ومع ذلك، فإن استخدام كائن جافا (Java object) محقون غير محمي `returnClass`، مقترنًا بقائمة حظر غير كاملة لشجرة الصياغة المجردة (AST)، يسمح بتجاوز البيئة المعزولة عبر انعكاس جافا (Java reflection). يمكن استغلال هذا الخلل من خلال واجهة برمجة تطبيقات الملحقات (Extensions API).

يوجد ثغرة في التحكم في الوصول في سجل الحاويات ومعالجة حزم Composer. تسمح هذه المشكلة للمهاجمين عن بُعد غير المصادق عليهم بسحب صور الحاويات الخاصة وعرض روابط مصادر حزم Composer الخاصة أو الداخلية. يحدث ذلك لأن النظام يفشل في تطبيق علامة الخصوصية بشكل صحيح ويفتقر إلى عمليات التحقق الكافية من الأذونات عند عرض أو تقديم بيانات تعريف مصدر الحزم. يمكن للمهاجم استغلال هذه الثغرة عن طريق الاستعلام عن نقاط نهاية حزم Composer أو إرسال طلبات سحب Docker/OCI قياسية مجهولة الهوية إلى واجهة برمجة تطبيقات السجل. استمرت هذه الثغرة لمدة أربع سنوات تقريبًا، ومن المحتمل أن تؤثر على أكثر من 30,000 عملية نشر حول العالم، بما في ذلك ما يقرب من 4,000 نظام إنتاج على منصات السحابة الرئيسية. قد يؤدي الكشف عن هذه البيانات إلى إفشاء معلومات حساسة، مثل شفرة المصدر والأسرار وتفاصيل البنية التحتية الداخلية.