搜索

[16713] 2021-04-26_Homebrew软件包管理器中发现RCE漏洞，小心你的Mac和Linux

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-04-26_Homebrew软件包管理器中发现RCE漏洞，小心你的Mac和Linux H o m e b r e w 软 件 包 管 理 器 中 发 现 R C E 漏 洞 ， 小 心 你 的 M a c 和 L i n u x A v e n g e r   F r e e B u f   2 0 2 1 - 0 4 - 2 6 官 方 H o m e b r e w   C a s k 存 储 库 中 发 现 了 严 重 的 安 全 漏 洞 ， 攻 击 者 可 能 已 经 利 用 了 该 漏 洞 在 安 装 H o m e b r e w 的 失 陷 主 机 上 执 行 任 意 代 码 。 该 安 全 漏 洞 由 一 名 日 本 安 全 研 究 人 员 R y o t a K 于 4 月 1 8 日 报 告 给 官 方 ， 该 问 题 源 于 其 该 问 题 源 于 其 G i t H u b 存 储 库 中 代 码 变 更 的 处 理 存 储 库 中 代 码 变 更 的 处 理 方 式 ， 从 而 导 致 了 可 能 出 现 恶 意 代 码 会 被 自 动 审 查 和 合 并 的 情 况 方 式 ， 从 而 导 致 了 可 能 出 现 恶 意 代 码 会 被 自 动 审 查 和 合 并 的 情 况 ， 该 漏 洞 已 于 4 月 1 9 日 修 复 。 H o m e b r e w 是 一 个 免 费 的 开 源 软 件 包 管 理 器 解 决 方 案 ， 支 持 在 A p p l e 的 m a c O S 操 作 系 统 与 L i n u x 操 作 系 统 上 安 装 软 件 。 H o m e b r e w   C a s k 对 功 能 进 行 了 扩 展 ， 使 其 支 持 可 视 化 的 M a c O S 应 用 程 序 、 字 体 、 插 件 和 其 他 非 开 源 软 件 的 命 令 行 工 作 流 。 H o m e b r e w 的 M a r k u s   R e i t e r 表 示 ： “ 本 次 发 现 的 漏 洞 使 攻 击 者 能 够 将 任 意 代 码 注 入 进 代 码 库 并 自 动 合 并 ” ， “ 由 于 G i t H u b 的 r e v i e w - c a s k - p r 动 作 中 的 g i t _ d i f f 依 赖 项 存 在 缺 陷 ， 该 动 作 用 于 解 析 提 交 P R 的 d i f f 检 查 。 受 缺 陷 影 响 ， 解 析 器 可 能 会 完 全 忽 略 某 些 代 码 ， 从 而 导 致 恶 意 P R 会 被 成 功 合 并 ” 。 直 白 点 说 ， 该 缺 陷 意 味 着 攻 击 者 可 以 将 恶 意 代 码 注 入 到 该 缺 陷 意 味 着 攻 击 者 可 以 将 恶 意 代 码 注 入 到 H o m e b r e w   C a s k 存 储 库 中 ， 且 不 经 过 任 何 审 核 就 能 完 成 存 储 库 中 ， 且 不 经 过 任 何 审 核 就 能 完 成 分 支 合 并 分 支 合 并 。 研 究 人 员 提 交 了 相 应 的   P O C   来 进 行 漏 洞 证 明 。 根 据 调 查 结 果 ， H o m e b r e w 还 删 除 了 名 为 “ a u t o m e r g e ” 的 自 动 合 并 G i t H u b   A c t i o n 动 作 ， 并 从 所 有 易 受 攻 击 的 存 储 库 中 删 除 了 “ r e v i e w - c a s k - p r ” 的 G i t H u b   A c t i o n 动 作 。
B o t 提 交 到 h o m e b r e w / c a s k 存 储 库 的 功 能 也 已 被 删 除 ， 所 有 P R 都 需 要 维 护 人 员 进 行 手 动 审 查 和 批 准 。 “ 如 果 漏 洞 被 恶 意 利 用 ， 会 造 成 极 其 大 的 影 响 ” ， 研 究 人 员 表 示 ： “ 我 们 强 烈 感 受 到 需 要 对 集 中 式 的 生 态 系 统 进 行 安 全 需 要 对 集 中 式 的 生 态 系 统 进 行 安 全 审 核 审 核 ” 。 精 精 彩 彩 推 推 荐 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理