CVE-2024-25129

CodeQL CLI repozitoriyası CodeQL komanda sətri interfeysi (CLI) üçün binar faylları saxlayır. Versiya 2.16.3-dən əvvəl, müxtəlif köməkçi faylları oxumaq üçün CodeQL CLI tərəfindən istifadə edilən XML parseri XML External Entity hücumuna qarşı həssasdır. Əgər CLI-ın həssas versiyası zərərli şəkildə dəyişdirilmiş CodeQL verilənlər bazasını və ya xüsusi hazırlanmış QL sorğu mənbələri çoxluğunu emal etmək üçün istifadə edilərsə, CLI-ı hücum edən tərəf tərəfindən seçilmiş lokal fayldan oxunan məlumatları ehtiva edən bir URL-ə çıxan HTTP sorğusu göndərməyə məcbur etmək olar. Bu, məxfiliyin itirilməsinə və ya gizli məlumatların sızmasına səbəb ola bilər. Etibarsız mənbələrdən verilənlər bazaları və ya QL mənbə faylları alan təhlükəsizlik tədqiqatçıları və QL müəllifləri bundan təsirlənə bilər. Tək bir etibarsız `.ql` və ya `.qll` faylına təsir göstərilə bilməz, lakin QL mənbələrini ehtiva edən zip arxivi və ya tarball, CodeQL onları fayl sistemində gördükdə hücumu tetikləyəcək köməkçi faylları açıla bilər. CodeQL-dən öncədən seçilmiş etibarlı sorğular dəsti ilə mənbə ağaclarının rutin analizi üçün istifadə edənlər buna təsirlənmir. Xüsusilə, mənbə ağacından XML fayllarının CodeQL verilənlər bazasına çıxarılması istifadəçini həssas etmir. Problem CodeQL CLI-ın 2.16.3 buraxılışında düzəldilib. Yeniləməkdən başqa, alternativ həll yollarına etibarsız mənbələrdən CodeQL verilənlər bazalarını və ya sorğuları qəbul etməmək və ya belə materialları yalnız internet bağlantısı olmayan maşında emal etmək daxildir. Avtomatlaşdırılmış CI sistemində təhlükəsizlik skanlaması üçün CodeQL-in köhnə buraxılışlarını istifadə edən və uyğunluq səbəblərindən yeniləyə bilməyən müştərilər həmin versiyanı istifadə etməyə davam edə bilərlər. Bu istifadə halı təhlükəsizdir. Əgər belə müştərilərin şəxsi sorğu paketi varsa və onları CI sistemində istifadə etməzdən əvvəl önceden kompilyasiya etmək üçün `codeql pack create` əmrindən istifadə edirlərsə, `codeql pack create` əmrini işə salmaq üçün istehsalat CodeQL buraxılışını istifadə etməlidirlər. Önceden kompilyasiya edilən QL mənbəyi etibarlı olduğu müddətcə bu əmr təhlükəsizdir. Sorğu paketinin digər bütün işlənmə prosesləri üçün yenilənmiş CLI istifadə edilməlidir.