Trivy e hlasetsoe hape: Letšoao le atileng la GitHub Actions le liphiri tsa ho sekisetsa

Leka le hlasetswe hape: Letshwao le atileng la GitHub Actions tag disephiri tsa diphiri

Tsireletso ea ketane ea phepelo ea software e matla joalo ka sehokelo sa eona se fokolang haholo. Bakeng sa lihlopha tse ngata tsa nts'etsopele, sehokelo seo e se e le tsona lisebelisoa tseo li itšetlehileng ka tsona ho fumana bofokoli. Mabapi le phetoho ea liketsahalo, Trivy, sehatisi se tsebahalang sa ts'ireletso ea mohloli o bulehileng se hlokometsoeng ke Aqua Security, se ile sa iphumana se le bohareng ba tlhaselo e tsoetseng pele. Batšoantšisi ba lonya ba sentse tag ea mofuta o itseng (`v0.48.0`) ka har'a polokelo ea GitHub Actions, ba kenya khoutu e etselitsoeng ho utsoa makunutu ho tsoa mosebetsing ofe kapa ofe o e sebelisitseng. Ketsahalo ena ke khopotso e matla ea hore tikolohong ea rona ea nts'etsopele e hokahaneng, ts'epo e tlameha ho netefatsoa khafetsa, eseng ho nahanoa.

Anatomy of the Tag Compromise Attack

Sena e ne e se tlolo ya molao ya Trivy's core application code, empa e ne e le ho qhekella ka bohlale CI/CD ea eona ea automation. Bahlaseli ba ne ba shebile polokelo ea GitHub Actions, ba theha mofuta o kotsi oa faele ea `action.yml` bakeng sa tag ea `v0.48.0`. Ha mosebetsi oa mohlahlami o ne o supa tag ena e khethehileng, ketso e tla hlahisa mongolo o kotsi pele o etsa sekeno se nepahetseng sa Trivy. Sengoliloeng sena se etselitsoe ho hlahisa liphiri-tse kang li-tokens tsa polokelo, lintlha tsa mofani oa maru, le linotlolo tsa API-ho seva se hōle se laoloang ke mohlaseli. Sebopeho se bolotsana sa tlhaselo ena se itšetlehile ka ho khetheha ha eona; Basebelisi ba sebelisang li-tag tsa `@v0.48` kapa tsa `@main` tse sireletsehileng ha baa ameha, empa ba kentseng theke e senyehileng ba sa tsebe ba hlahisitse tsietsi e kholo tsamaisong ea bona.

Hobaneng Ketsahalo Ena e Tsebahatsa Lefatšeng la DevOps

The Trivy compromise e bohlokoa ka mabaka a 'maloa. Taba ea pele, Trivy ke sesebelisoa sa ts'ireletso sa mantlha se sebelisoang ke limilione ho lekola bofokoli ka har'a linkho le likhoutu. Tlhaselo ea sesebelisoa sa ts'ireletso e senya ts'epo ea motheo e hlokahalang bakeng sa nts'etsopele e sireletsehileng. Taba ea bobeli, e totobatsa mokhoa o ntseng o hola oa bahlaseli ba "nyolohelang", ba shebile lisebelisoa le litšepiso tseo software e 'ngoe e hahiloeng holim'a tsona. Ka ho chefo ka karolo e le 'ngoe e sebelisoang haholo, ba ka khona ho fihlella marang-rang a mangata a merero le mekhatlo e tlase. Ketsahalo ena e sebetsa e le phuputso e mahlonoko mabapi le ts'ireletso ea ketane ea phepelo, e bonts'ang hore ha ho sesebelisoa, ho sa tsotelehe hore na se na le botumo bo bokae, se ke keng sa sebelisoa joalo ka vector ea tlhaselo.

"Tlhaselo ena e bonts'a kutloisiso e rarahaneng ea boitšoaro ba moqapi le mechine ea CI / CD. Ho penya ho tag ea mofuta o itseng hangata ho nkoa e le mokhoa o molemo ka ho fetisisa bakeng sa botsitso, empa ketsahalo ena e bontša hore e ka boela ea hlahisa kotsi haeba phetolelo eo e itseng e sekiselitsoe.

Mehato e potlakileng ea ho Sireletsa Ketso ea hau ea GitHub

Ka mor'a ketsahalo ena, bahlahisi le lihlopha tsa ts'ireletso li tlameha ho nka mehato e matla ho thatafatsa ts'ebetso ea bona ea GitHub Actions. Ho khotsofala ke sera sa tšireletso. Mehato ea bohlokoa eo u ka e sebelisang hang-hang ke ena:

• Sebelisa boitlamo ba SHA pinning ho fapana le li-tag: Kamehla bua ka liketso ka boitlamo ba bona bo felletseng (mohlala, `actions/checkout@a81bbbf8298c0fa03ea29cdc473d45769f953675`). Ena ke eona feela tsela ea ho netefatsa hore u sebelisa mofuta o ke keng oa fetoha oa ketso.
• Hlahloba tšebetso ea hau ea hajoale: Hlahloba buka ea hau ea `.github/workflows`. Hlalosa liketso life kapa life tse khomaretsoeng ho li-tag 'me u li fetole hore li sebelise li-SHA, haholo-holo bakeng sa lisebelisoa tsa bohlokoa tsa ts'ireletso.
• Sebelisa likarolo tsa tshireletso tsa GitHub: Lumella ho lekola maemo a hlokehang le ho hlahloba litlhophiso tsa `workflow_permissions`, ho li beha ho bala feela ka mokhoa oa kamehla ho fokotsa tšenyo e ka bang teng ka lebaka la ketso e senyehileng.
• Ela leihlo bakeng sa ts'ebetso e sa tloaelehang: Kenya ts'ebetsong ho rengoa ha lifate le ho beha leihlo liphaephe tsa CI/CD tsa hau ho bona likhokahano tsa marang-rang tse sa lebelloang kapa liteko tse sa lumelloeng tsa ho kena u sebelisa makunutu a hau.

Ho Aha Motheo o Matla ka Mewayz

Leha ho boloka lisebelisoa ka bomong ho le bohlokoa, ho tiea ha 'nete ho tsoa ho mokhoa o akaretsang oa ts'ebetso ea hau ea khoebo. Liketsahalo tse kang ho sekisetsa ha Trivy li senola mathata a patiloeng le likotsi tse kentsoeng liketane tsa lisebelisoa tsa sejoale-joale. Sethala se kang Mewayz se sebetsana le sena ka ho fana ka OS ea khoebo e kopaneng, e tloaelehileng e fokotsang ho ata ha ts'epo le ho beha taolo bohareng. Sebakeng sa ho ts'oara lits'ebeletso tse fapaneng tse fapaneng - e 'ngoe le e' ngoe e na le mohlala oa eona oa ts'ireletso le potoloho ea ntlafatso - Mewayz e kopanya mesebetsi ea mantlha joalo ka taolo ea projeke, CRM, le ho sebetsana le litokomane sebakeng se le seng se sireletsehileng. Kopanyo ena e fokotsa boemo ba tlhaselo le ho nolofatsa taolo ea ts'ireletso, e lumella lihlopha ho tsepamisa maikutlo ho likarolo tsa moaho ho e-na le ho lula li loants'a bofokoli ba software e arohaneng. Lefatšeng leo letšoao le le leng le sekiselitsoeng le ka lebisang tlōlong e kholo, ts'ireletso e kopantsoeng le ts'ebetso e lokiselitsoeng e fanoang ke Mewayz e fana ka motheo o laoloang le o utloahalang oa kholo.

Lipotso Tse Botsoang Hangata

Leka le hlasetswe hape: Letshwao le atileng la GitHub Actions tag disephiri tsa diphiri

Tsireletso ea ketane ea phepelo ea software e matla joalo ka sehokelo sa eona se fokolang haholo. Bakeng sa lihlopha tse ngata tsa nts'etsopele, sehokelo seo e se e le tsona lisebelisoa tseo li itšetlehileng ka tsona ho fumana bofokoli. Mabapi le phetoho ea liketsahalo, Trivy, sehatisi se tsebahalang sa ts'ireletso ea mohloli o bulehileng se hlokometsoeng ke Aqua Security, se ile sa iphumana se le bohareng ba tlhaselo e tsoetseng pele. Batšoantšisi ba lonya ba sentse tag ea mofuta o itseng (`v0.48.0`) ka har'a polokelo ea GitHub Actions, ba kenya khoutu e etselitsoeng ho utsoa makunutu ho tsoa mosebetsing ofe kapa ofe o e sebelisitseng. Ketsahalo ena ke khopotso e matla ea hore tikolohong ea rona ea nts'etsopele e hokahaneng, ts'epo e tlameha ho netefatsoa khafetsa, eseng ho nahanoa.

Anatomy of the Tag Compromise Attack

Sena e ne e se tlolo ya molao ya Trivy's core application code, empa e ne e le ho qhekella ka bohlale CI/CD ea eona ea automation. Bahlaseli ba ne ba shebile polokelo ea GitHub Actions, ba theha mofuta o kotsi oa faele ea `action.yml` bakeng sa tag ea `v0.48.0`. Ha mosebetsi oa mohlahlami o ne o supa tag ena e khethehileng, ketso e tla hlahisa mongolo o kotsi pele o etsa sekeno se nepahetseng sa Trivy. Sengoliloeng sena se etselitsoe ho hlahisa liphiri-tse kang li-tokens tsa polokelo, lintlha tsa mofani oa maru, le linotlolo tsa API-ho seva se hōle se laoloang ke mohlaseli. Sebopeho se bolotsana sa tlhaselo ena se itšetlehile ka ho khetheha ha eona; Basebelisi ba sebelisang li-tag tsa `@v0.48` kapa tsa `@main` tse sireletsehileng ha baa ameha, empa ba kentseng theke e senyehileng ba sa tsebe ba hlahisitse tsietsi e kholo tsamaisong ea bona.

Hobaneng Ketsahalo Ena e Tsebahatsa Lefatšeng la DevOps

The Trivy compromise e bohlokoa ka mabaka a 'maloa. Taba ea pele, Trivy ke sesebelisoa sa ts'ireletso sa mantlha se sebelisoang ke limilione ho lekola bofokoli ka har'a linkho le likhoutu. Tlhaselo ea sesebelisoa sa ts'ireletso e senya ts'epo ea motheo e hlokahalang bakeng sa nts'etsopele e sireletsehileng. Taba ea bobeli, e totobatsa mokhoa o ntseng o hola oa bahlaseli ba "nyolohelang", ba shebile lisebelisoa le litšepiso tseo software e 'ngoe e hahiloeng holim'a tsona. Ka ho chefo ka karolo e le 'ngoe e sebelisoang haholo, ba ka khona ho fihlella marang-rang a mangata a merero le mekhatlo e tlase. Ketsahalo ena e sebetsa e le phuputso e mahlonoko mabapi le ts'ireletso ea ketane ea phepelo, e bonts'ang hore ha ho sesebelisoa, ho sa tsotelehe hore na se na le botumo bo bokae, se ke keng sa sebelisoa joalo ka vector ea tlhaselo.

Mehato e potlakileng ea ho Sireletsa Ketso ea hau ea GitHub

Ka mor'a ketsahalo ena, bahlahisi le lihlopha tsa ts'ireletso li tlameha ho nka mehato e matla ho thatafatsa ts'ebetso ea bona ea GitHub Actions. Ho khotsofala ke sera sa tšireletso. Mehato ea bohlokoa eo u ka e sebelisang hang-hang ke ena:

Ho Aha Motheo o Matla ka Mewayz

Leha ho boloka lisebelisoa ka bomong ho le bohlokoa, ho tiea ha 'nete ho tsoa ho mokhoa o akaretsang oa ts'ebetso ea hau ea khoebo. Liketsahalo tse kang ho sekisetsa ha Trivy li senola mathata a patiloeng le likotsi tse kentsoeng liketane tsa lisebelisoa tsa sejoale-joale. Sethala se kang Mewayz se sebetsana le sena ka ho fana ka OS ea khoebo e kopaneng, e tloaelehileng e fokotsang ho ata ha ts'epo le ho beha taolo bohareng. Sebakeng sa ho ts'oara lits'ebeletso tse fapaneng tse fapaneng - e 'ngoe le e' ngoe e na le mohlala oa eona oa ts'ireletso le potoloho ea ntlafatso - Mewayz e kopanya mesebetsi ea mantlha joalo ka taolo ea projeke, CRM, le ho sebetsana le litokomane sebakeng se le seng se sireletsehileng. Kopanyo ena e fokotsa boemo ba tlhaselo le ho nolofatsa taolo ea ts'ireletso, e lumella lihlopha ho tsepamisa maikutlo ho likarolo tsa moaho ho e-na le ho lula li loants'a bofokoli ba software e arohaneng. Lefatšeng leo letšoao le le leng le sekiselitsoeng le ka lebisang tlōlong e kholo, ts'ireletso e kopantsoeng le ts'ebetso e lokiselitsoeng e fanoang ke Mewayz e fana ka motheo o laoloang le o utloahalang oa kholo.