Mobile-Menu

Unberechtigte Lese- und Schreibrechte Kritische RCE-Schwachstelle verbreitet sich über Microsoft-GitHub-Repository

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Tenable Network Security

Tenable entdeckt eine kritische Sicherheitslücke im Microsoft Repository „Windows-driver-samples“. Sie erlaubt Remote Code Execution und Zugriff auf Secrets. Durch einen manipulierten Issue-Workflow können Angreifer CI/CD-Pipelines und Lieferketten kompromittieren.

Das anfälligeMicrosoft Repository „Windows-driver-samples“ ist ein öffentliches Microsoft-GitHub-Repository mit Beispiel- und Referenztreibern, das Unternehmen als Vorlage und Lernquelle für die Entwicklung, das Prototyping, das Testen sowie den Aufbau von Build- und Signierprozessen für Windows-Treiber nutzen.(Bild: James Thew - stock.adobe.com)
Das anfälligeMicrosoft Repository „Windows-driver-samples“ ist ein öffentliches Microsoft-GitHub-Repository mit Beispiel- und Referenztreibern, das Unternehmen als Vorlage und Lernquelle für die Entwicklung, das Prototyping, das Testen sowie den Aufbau von Build- und Signierprozessen für Windows-Treiber nutzen.
(Bild: James Thew - stock.adobe.com)

Die Sicherheitsforscher von Tenable berichten, eine kritische Sicherheitslücke im GitHub Repository von Microsoft gefunden zu haben. Eine offizielle CVE- oder EUVD-ID gibt es noch nicht, doch die Analysten haben für die Schwachstelle einen Risikoscore von 9.3 ermittelt, da sie Remote Code Execution (RCE) sowie unautorisierten Zugriff auf Repository-Secrets ermögliche.

Ein „trivialer“ Angriffspfad

Die Schwachstelle betreffe einen verwundbaren GitHub-Workflow, konkret Automatisier­ungs­skrip­te auf Basis von GitHub Actions, im Repository „Windows-driver-samples“. Mit rund 5.000 Forks und 7.700 Stars stellt dieses Repository einen wichtigen Anlaufpunkt für Entwickler dar. Die Tenable-Forscher zeigen in ihrem Bericht, wie Angreifer dessen CI/CD-Infrastruktur mit einem augenscheinlich trivialen Angriffspfad gezielt ausnutzen können, um die Software-Lieferkette zu kompromittieren.

Die Ursache der Sicherheitslücke liege in einer einfachen Python-String-Injection-Schwachstelle. Ein mögliches Angriffsszenario sehe wie folgt aus:

  • 1. Ein Angreifer eröffne ein GitHub-Issue, eine Funktion, die jedem registrierten Nutzer offensteht.
  • 2. In der Issue-Beschreibung platziere er bösartigen Python-Code.
  • 3. Der GitHub-Workflow werde beim Erstellen des Issues automatisch ausgelöst und führe den Schadcode im Kontext des GitHub-Runners aus.
  • 4. Der Angreifer sei dann in der Lage, den GITHUB_TOKEN sowie weitere im Repository konfigurierte Secrets auslesen.

Der ausgelesene GITHUB_TOKEN ermögliche Aktionen im jeweiligen GitHub-Repository. Da das Repository vor 2023 erstellt wurde und der Token ohne explizite Einschränkung zumindest das Erstellen von Issues erlaube, gehen die Researcher davon aus, dass weiterhin stan­dard­mä­ßi­ge Lese- und Schreibrechte bestehen würden. Dies könnte es Unbefugten ermöglichen, pri­vi­legierte Aktionen im Namen von Microsoft auszuführen, etwa Issues anzulegen oder Inhalte im Repository zu verändern.

„Die CI/CD-Infrastruktur ist Teil der Angriffsfläche und der Software-Lieferkette eines Un­ter­neh­mens“, erklärt Rémy Marot, Staff Research Engineer bei Tenable. „Ohne geeignete Schutz­maß­nahmen können Schwachstellen in Pipelines ausgenutzt werden, um groß angelegte Supply-Chain-Angriffe zu starten – mit potenziell gravierenden Folgen für nachgelagerte Sys­teme und Nutzer.“

Tenable betont, dass Unternehmen ihre CI/CD-Pipelines als kritische Infrastruktur behandeln sollten, und empfiehlt zur Vermeidung solcher Risiken folgende Maßnahmen:

  • Strenge Sicherheitskontrollen: Robuste Schutzmechanismen zum Schutz von Quellcode und Build-Integrität in automatisierten Workflows implementieren.
  • Überprüfung von Berechtigungen: GITHUB_TOKEN-Berechtigungen explizit anpassen und auf das notwendige Minimum beschränken.
  • Monitoring der Pipelines: Automatisierte Workflows regelmäßig auf mögliche Injection-Schwachstellen prüfen, insbesondere wenn sie durch externe Nutzereingaben ausgelöst werden

(ID:50824768)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte