La vulnérabilité "GerriScary" dans Gerrit expose à un risque d'intégrité du code dans des projets clés de Google
Une vulnérabilité récemment révélée dans Gerrit, le système de révision de code open-source utilisé par Google et d'autres, pourrait avoir ouvert une voie pour l'introduction de code non autorisé dans des projets de logiciels critiques sans les processus d'approbation standard. Les chercheurs en sécurité de Tenable ont révélé que la faille provenait d'une mauvaise configuration des autorisations et de la logique des étiquettes d'examen. Dans certaines configurations, les attaquants pouvaient exploiter une fonction connue sous le nom de "addPatchSet" pour modifier des changements déjà approuvés, introduisant potentiellement du code malveillant sans déclencher une nouvelle révision.
Un rapport distinct publié sur CybersecurityAsia.net a confirmé que les attaquants pouvaient contourner les étapes de révision manuelle et utiliser des outils automatisés pour insérer du code non autorisé sans aucune interaction de la part de l'utilisateur.
Au moins 18 référentiels de premier plan ont été identifiés comme vulnérables, notamment des projets liés à Chromium, Dart, Bazel et d'autres composants d'infrastructure. Le problème concerne également une condition de course dans le processus de soumission automatisé, permettant aux attaquants d'agir dans une brève fenêtre avant que le code ne soit fusionné.
Au moment de la divulgation, aucune exploitation confirmée de la vulnérabilité n'avait été observée dans la nature. Tenable a effectué des tests responsables en utilisant un code bénin et n'a pas tenté d'exploiter la vulnérabilité de bout en bout.
Google a depuis lors mis en œuvre des changements de configuration pour atténuer le problème. Entre-temps, Tenable a averti que les autres projets open-source utilisant Gerrit devraient revoir leurs configurations, car des paramètres similaires peuvent exister ailleurs, et recommande que tous les utilisateurs de Gerrit vérifient les règles d'autorisation et les politiques de persistance des étiquettes afin de garantir l'intégrité du code. Les mauvaises configurations sous-jacentes peuvent également affecter d'autres organisations utilisant Gerrit, en particulier lorsque des paramètres de permission par défaut et des processus de soumission de code automatisés sont en place. Cet incident souligne l'importance des environnements de développement sécurisés dans l'écosystème open-source.
