Sicherheitslücke in GitHub legt Umgebungsvariablen offen

Am 6. Mai 2024 berichtete Starlabs in einem Artikel auf GitHub.com über eine entdeckte Sicherheitslücke, die sowohl die Offenlegung aller Umgebungsvariablen eines Produktionscontainers auf GitHub.com als auch die Ausführung von Remote-Code auf GitHub Enterprise Servers (GHES) ermöglicht. Diese Entdeckung, die ursprünglich als geringfügig eingeschätzt wurde, stellte sich als eine der bedeutendsten Sicherheitslücken in der Geschichte von GitHub heraus.

Die Schwachstelle, bekannt unter der CVE-2024-0200 mit CVSS Score 9.8 / 10, wurde ursprünglich während einer Routineüberprüfung von GHES im Dezember 2023 entdeckt. Die volle Tragweite des Problems wurde jedoch erst nach Weihnachten erkannt, als Lin einige Zeit für eine tiefergehende Analyse fand. Wir haben bereits in einem früheren Artikel über die CVE-2024-0200 berichtet, damals waren die Details aber noch nicht bekannt. Der empfohlene Patch schliesst von Mitte Januar schliesst die Lücke jedoch.

Durch den unkontrollierten Zugriff auf die Kernel#send() Methode in Ruby – einer Funktion, die es erlaubt, Methoden auf Objekten dynamisch aufzurufen – konnte der Sicherheitsforscher Lin eine Methode in der Anwendung ausfindig machen, die alle Umgebungsvariablen eines Containers preisgab. Diese Variablen enthielten zahlreiche Zugangsschlüssel und Geheimnisse.

Noch besorgniserregender war die Möglichkeit, diesen Zugriff in eine Remote-Code-Ausführung auf GHES umzumünzen, obwohl GitHub.com selbst davon nicht direkt betroffen war. Die Enthüllung und Analyse dieser Schwachstelle unterstreicht die Notwendigkeit strengerer Sicherheitsprüfungen in der Softwareentwicklung und bei der Verwendung von Reflektionen in Programmiersprachen wie Ruby.