Bypass allowlist biến môi trường trong Renovate của Renovatebot và các sản phẩm Renovate của Mend

Trước phiên bản 44.60.1, Renovate có lỗ hổng bypass allowlist cho phép các repository đặt các biến môi trường bị hạn chế bằng cách đặt env bên trong một shared preset. Kẻ tấn công kiểm soát một preset có nguồn bên ngoài có thể ghi đè các biến như PATH, LD_PRELOAD, NODE_OPTIONS hoặc GIT_SSL_CAINFO trong các tiến trình con trên các instance self-hosted.

• renovatebot/renovate: affected từ phiên bản 0 đến trước 44.60.1; bản vá được xác nhận là 44.60.1.
• mend/renovate-ce, mend/renovate-ee-server và mend/renovate-ee-worker: affected từ phiên bản 0 đến trước 15.5.0; bản vá được xác nhận là 15.5.0.
• Helm chart mend-renovate-ce: affected từ phiên bản 0 đến trước 15.5.0; bản vá được xác nhận là 15.5.0.
• Helm chart mend-renovate-enterprise-edition: affected từ phiên bản 0 đến trước 10.5.0; bản vá được xác nhận là 10.5.0.
• Các ranh giới trên áp dụng cho các nhánh và sản phẩm được hồ sơ và advisory liệt kê. Không nên suy ra trạng thái của nhánh khác nếu chưa được nguồn xác nhận.

Khi Renovate gọi lệnh bên ngoài, sản phẩm dùng allowlist để quyết định biến môi trường nào được truyền cho tiến trình con. Quản trị viên self-hosted kiểm soát một phần cơ chế này qua cấu hình allowedEnv, trong khi repository có thể khai báo env khi cấu hình đó cho phép. Lỗ hổng xảy ra vì env đặt bên trong một shared preset vẫn có thể vượt qua kiểm tra áp dụng cho cấu hình repository. Nếu preset do bên ngoài kiểm soát được đưa vào quá trình xử lý, preset đó có thể đặt hoặc ghi đè các biến như PATH, LD_PRELOAD, NODE_OPTIONS và GIT_SSL_CAINFO. Điều kiện phơi nhiễm được nhà cung cấp nêu gồm instance self-hosted, chính sách hạn chế biến môi trường, repository sử dụng preset và một preset có chứa env. Đây là lỗi Incorrect Authorization, CWE-863. Các chi tiết triển khai cụ thể về đường dẫn hợp nhất hoặc kiểm tra cấu hình không được nguồn công khai mô tả.

Đường tiếp cận nằm trong luồng xử lý cấu hình và preset của instance self-hosted, không phải một dịch vụ độc lập không cần cấu hình. Dữ liệu đánh giá trong hồ sơ mô tả khả năng tấn công qua mạng, yêu cầu quyền thấp, độ phức tạp thấp và không cần tương tác người dùng, đồng thời có một điều kiện bổ sung là preset phải được kiểm soát hoặc cung cấp bởi kẻ tấn công và được deployment sử dụng. Advisory của nhà cung cấp lưu ý rằng một cuộc tấn công có chủ đích cần thêm thông tin về môi trường và các lệnh được chạy. Hồ sơ được cung cấp đánh dấu public_exploit là false và known_exploited là null; không có trạng thái khai thác thực tế nào được xác nhận trong các nguồn đã kiểm tra.

Kết quả kỹ thuật trực tiếp là tiến trình con do Renovate khởi tạo có thể nhận các biến môi trường mà quản trị viên dự định loại trừ. PATH, LD_PRELOAD, NODE_OPTIONS và GIT_SSL_CAINFO có thể làm thay đổi việc tìm executable, nạp thư viện, hành vi khởi chạy Node.js hoặc xác thực chứng chỉ của Git. Vì tiến trình con thường hoạt động với quyền và dữ liệu của worker, việc lạm dụng có thể ảnh hưởng đến tính bí mật, toàn vẹn hoặc khả dụng trong phạm vi mà worker truy cập được. Hồ sơ không chứng minh rằng lỗ hổng tự động dẫn đến chiếm quyền máy chủ, đánh cắp secret hoặc thực thi mã tùy ý trong mọi cấu hình. Tác động cụ thể phụ thuộc vào preset được nạp, lệnh con được gọi và quyền của instance self-hosted.

• Một shared preset không đáng tin cậy có thể tác động đến môi trường chạy của các lệnh con do Renovate khởi tạo, làm thay đổi hành vi của automation self-hosted.
• Các biến như PATH, LD_PRELOAD, NODE_OPTIONS và GIT_SSL_CAINFO có thể ảnh hưởng đến cách tiến trình tìm executable, nạp thư viện, khởi động Node.js hoặc xác thực TLS của Git. Hệ quả thực tế phụ thuộc vào lệnh con, quyền của worker và dữ liệu mà tiến trình được phép truy cập.
• Trong điều kiện phù hợp, sự thay đổi này có thể gây rủi ro cho tính bí mật, toàn vẹn hoặc khả dụng của môi trường chạy và các tài nguyên mà worker có quyền sử dụng.
• Nguồn hiện có không xác nhận việc đánh cắp thông tin xác thực, thực thi mã tùy ý hoặc xâm nhập máy chủ đã xảy ra. Đây là các hậu quả có thể xảy ra, không phải kết quả đã được chứng minh.

1. Nâng cấp package, image hoặc deployment renovatebot/renovate lên bản 44.60.1.
2. Nâng cấp renovate-ce, renovate-ee-server và renovate-ee-worker của Mend lên bản 15.5.0.
3. Nâng cấp Helm chart mend-renovate-ce lên bản 15.5.0 và Helm chart mend-renovate-enterprise-edition lên bản 10.5.0.
4. Kiểm tra inventory sau nâng cấp để bảo đảm mọi worker, server, image và chart thực tế đều chạy bản đã sửa, thay vì chỉ cập nhật một thành phần điều khiển.
5. Advisory của nhà cung cấp nêu rõ không có workaround. Trong thời gian chờ nâng cấp, hãy xem mọi shared preset bên ngoài là không đáng tin cậy và rà soát các preset có env; đây chỉ là biện pháp giảm rủi ro tạm thời, không thay thế bản vá.
6. Sau khi cập nhật, rà soát lại các repository và preset từng được xử lý bởi deployment bị ảnh hưởng để xác định thay đổi cấu hình bất thường.

1. Kiểm kê các instance self-hosted, image container, package npm và Helm chart của Renovate, sau đó đối chiếu từng nhánh với các ranh giới bị ảnh hưởng và bản vá.
2. Xác định các deployment dùng cấu hình allowedEnv để hạn chế biến môi trường, vì đây là điều kiện liên quan trực tiếp đến advisory.
3. Liệt kê các shared preset mà repository sử dụng, đặc biệt các preset lấy từ nguồn bên ngoài, và kiểm tra xem chúng có khai báo env hay không.
4. Rà soát thay đổi gần đây đối với nguồn preset và các giá trị môi trường bất thường trong telemetry của tiến trình con Renovate. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được công bố.
5. Không coi việc không thấy log bất thường là bằng chứng hệ thống an toàn; xác nhận bằng inventory phiên bản và việc nâng cấp bản vá.