CVE-2023-30853

Gradle Build Action istifadəçilərə öz GitHub Actions iş axınlarında Gradle Build icra etməyə imkan verir. Versiya 2.4.2-dən əvvəlki Gradle Build Action istifadə edən və konfiqurasiya keşini (configuration cache) aktivləşdirərək Gradle Build Tool-u icra etmiş GitHub iş axınlarını təsir edən bir boşluq, repozitoriya üçün konfiqurasiya edilmiş gizli məlumatların (secrets) ifşa olunmasına səbəb ola bilər. GitHub Actions üçün konfiqurasiya edilmiş gizli məlumatlar normalda mühit dəyişənləri vasitəsilə Gradle Build Tool-a ötürülür. Gradle Build Tool-un bu mühit dəyişənlərini qeyd etmə üsuluna görə, onlar GitHub Actions keşində bir yazı kimi saxlanıla bilər. GitHub Actions keşində saxlanılan bu məlumatlar, məsələn, bir tərtibatçı tərəfindən repozitoriyanın çatallanması (fork) vasitəsilə göndərilmiş Pull Request üçün işləyən etibarsız kontekstdə olan GitHub Actions iş axını tərəfindən oxuna bilər. Bu boşluq daxili kod nəzərdən keçirmə zamanı aşkar edilmişdir və onun real şəraitdə istismar edildiyinə dair heç bir sübut görülməmişdir. Bununla belə, Gradle Build Action versiyasını yeniləməklə yanaşı, təsirlənən istifadəçilər potensial olaraq zəif olan bütün keş yazılarını silməli və təsirlənmiş ola biləcək hər hansı gizli məlumatları dəyişməyi seçməlidirlər. Gradle Build Action v2.4.2 və daha yeni versiyalar artıq bu həssas məlumatları sonrakı istifadə üçün yadda saxlamır və beləliklə, GitHub Actions Keşi vasitəsilə gizli məlumatların sızmasının qarşısını alır. Gradle Build Action-ın ən son versiyasına keçid gələcəkdə gizli məlumatların sızmasını önləyəcək olsa da, mövcud və ya əvvəlki GitHub Actions Keşi yazılarında bu məlumatların olması səbəbindən əlavə tədbirlər tələb oluna bilər. Mövcud keş yazıları məcburi şəkildə silinənədək və ya 7 gün ərzində istifadə edilmədikdən sonra təbii şəkildə vaxtı bitənədək zəif qalacaqdır. Potensial olaraq zəif yazılar GitHub interfeysində açarı `configuration-cache-*` ilə uyğunlaşan keş yazısı axtarılaraq asanlıqla müəyyən edilə bilər. Texniki dəstək komandası Gradle Build Action istifadəçilərinə keş yazıları siyahısını yoxlamağı və bu şablona uyğun olanları əllə silməyi tövsiyə edir. Texniki dəstək komandası bu boşluğun istismar edildiyinə dair heç bir sübut görməsə də, gizli məlumatların təhlükə altına düşmədiyindən əmin deyilsinizsə, repozitoriya gizli məlumatlarının yenilənməsini tövsiyə edir. Təhlükə, istifadəçi bu məlumatları istismar etməyə çalışan bir pull request üçün GitHub Actions iş axınını icra etdikdə baş verə bilər. Pull request-də diqqət yetirilməli olan xəbərdarlıq əlamətlərinə aşağıdakılar daxildir: - Gradle User Home və ya `<project-root>/.gradle` kataloqlarından məlumatları oxumağa/çıxarmağa cəhd edə biləcək şəkildə GitHub Actions iş axını fayllarına dəyişikliklərin edilməsi. - GitHub Actions iş axını tərəfindən çağırıla bilən Gradle build fayllarına və ya digər icra edilə bilən fayllara, bu yerlərdən məlumatları oxumağa/çıxarmağa cəhd edə biləcək şəkildə dəyişikliklərin edilməsi. Bu boşluğun təsirini məhdudlaşdırmaq üçün bəzi alternativ həll yolları mövcuddur: - Əgər Gradle layihəsi konfiqurasiya keşinin istifadəsini seçməyibsə, onda o, zəif deyil. - Əgər Gradle layihəsi standart olaraq konfiqurasiya keşinin istifadəsini seçibsə, GitHub Actions iş axınında bu funksiyanı söndürmək üçün `--no-configuration-cache` əmr sətri arqumentindən istifadə edilə bilər. Hər bir halda, istifadəçilərə GitHub Actions iş axınlarının icrasını təsdiqləməzdən əvvəl hər bir pull request-i diqqətlə yoxlamağı tövsiyə edirik. Xarici kontribütorlardan gələn bütün PR-lar üçün təsdiq tələb etmək məqsədəuyğun ola bilər.