forum.opennet.ru - "Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs" (14)

"Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs"	+/–
Сообщение от opennews (?), 16-Окт-25, 08:51
Раскрыты сведения об уязвимостях в обработчиках GitHub Actions, автоматически вызываемых при отправке pull-запросов в репозиторий пакетов Nixpkgs, применяемый в дистрибутиве NixOS и в экосистеме, связанной с пакетным менеджером Nix. Уязвимость позволяла постороннему извлечь токен, предоставляющий доступ на запись и чтение к исходному коду всех пакетов, размещённых в Nixpkgs. Данный токен позволял напрямую вносить изменения в любой пакет через Git-репозиторий проекта, в обход процессов проверки и рецензирования изменений... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64059
Ответить \| Правка \| Cообщить модератору

Оглавление

Скрыто модератором, наблюдатель (?), 08:51 , 16-Окт-25, (1) –5
Надо было запилить свой гитхаб, но только очень функциональный без всякой вебни, Жироватт (ok), 09:16 , 16-Окт-25, (2) –3

а вообще хотелось бы такого, анон (?), 09:18 , 16-Окт-25, (3)
И пусть каждый pull request требует доказательство от противного Ф 969 Ф , Грустный (?), 09:24 , 16-Окт-25, (4) +2

Но сначала нужно доказать, что тот, кто будет доказывать пулл реквест - является, Жироватт (ok), 09:39 , 16-Окт-25, (5) –1

Все пулл-реквесты по умолчанию реджектятся, а дальше вступает в дело функция, ко, Аноним (6), 10:10 , 16-Окт-25, (6)

Darcs Ну или написанный на Rust Pijul Осталось написать сопоставимый с GitHub са, Аноним (-), 10:18 , 16-Окт-25, (7)
Скрыто модератором, User (??), 10:25 , 16-Окт-25, (8) –1

Именно так В других дистрибутивах были уязвимости как в самой инфраструктуре, т, Аноним (10), 11:44 , 16-Окт-25, (10)

Комментарий для ответа пропал, что же , Аноним (10), 11:45 , 16-Окт-25, (11)
Ну да, ну да, как никсоводам набрасывать в новостях по другим дистрам, когда там, Мимопроходил (?), 13:01 , 16-Окт-25, (12) –1

Гитхаб экшоны в nixos не используются ни для чего серьёзного, лишь для проверки , morphe (?), 14:02 , 16-Окт-25, (14) +1
Скрыто модератором, Аноним (10), 14:40 , 16-Окт-25, (15)

Плюсом можно добавить модуль impermanence, который позволяет самому добавлять ди, Amerigo (?), 13:05 , 16-Окт-25, (13)

Сообщения [Сортировка по времени | RSS]

1. Скрыто модератором –5 +/–

Сообщение от наблюдатель (?), 16-Окт-25, 08:51

Я так понимаю ИИ в никсы уже завезли. Очень похоже на уязвимость в гитхабе с выдачей ИИ паролей при прямом запросе.

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." –3 +/–

Сообщение от Жироватт (ok), 16-Окт-25, 09:16

Надо было запилить свой гитхаб, но только очень функциональный (без всякой вебни и императивщины), с монадами и без постэффектов, а так же декларативный.

Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от анон (?), 16-Окт-25, 09:18

а вообще хотелось бы такого

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +2 +/–

Сообщение от Грустный (?), 16-Окт-25, 09:24

> свой гитхаб
> но только очень функциональный
И пусть каждый pull request требует доказательство от противного. (ФωФ)

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

5. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." –1 +/–

Сообщение от Жироватт (ok), 16-Окт-25, 09:39

Но сначала нужно доказать, что тот, кто будет доказывать пулл реквест - является противным.

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от Аноним (6), 16-Окт-25, 10:10

Все пулл-реквесты по умолчанию реджектятся, а дальше вступает в дело функция, которая выведет доказательство.

Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от Аноним (-), 16-Окт-25, 10:18

Darcs.
Ну или написанный на Rust Pijul.
Осталось написать сопоставимый с GitHub сайт на Haskell (бэк и, возможно, фронт), PureScript (фронт), Elm (фронт).

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

8. Скрыто модератором –1 +/–

Сообщение от User (??), 16-Окт-25, 10:25

Можно даже без git!
Почему у каких-то бородатых луддитов из OpenBSD есть свой got - а у Самой Передовой В Мире Системы с Самым ЛуДшим Пакетным Менеджером (Который позволяет держать в системе ВСЕ версии пакета одновременно!*) - своей Самой Лудшей В Мире (Основанной на наработках пакетного менеджера) системы управления версиями нет?!!
("Все" означает "все, КРОМЕ луддитских X11 от Васянов)

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

10. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от Аноним (10), 16-Окт-25, 11:44

> Самая надежная NixOS.
Именно так. В других дистрибутивах были уязвимости как в самой инфраструктуре, так и в пакетных менеджерах. Но, в отличие от nixos, в других дистрибутивах ты можешь лишь гадать что у тебя там зловред в системе изгадил. В nixos пересобрать систему ты можешь в любой момент, сделать её чистой установкой одной командой.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от Аноним (10), 16-Окт-25, 11:45

Комментарий для ответа пропал, что же...

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." –1 +/–

Сообщение от Мимопроходил (?), 16-Окт-25, 13:01

>> Самая надежная NixOS.
> Именно так. В других дистрибутивах были уязвимости как в самой инфраструктуре, так
> и в пакетных менеджерах. Но, в отличие от nixos, в других
> дистрибутивах ты можешь лишь гадать что у тебя там зловред в
> системе изгадил. В nixos пересобрать систему ты можешь в любой момент,
> сделать её чистой установкой одной командой.
Ну да, ну да, как никсоводам набрасывать в новостях по другим дистрам, когда там обcepyтся, так это за здоров живёшь, а как у никсоводов жиденько тренькнули в штанишки, то сразу: "ну, оно всё же не такое жиденькое, как у других, и даже не такое пачкающее, и не такое вонючее, вон клеёночку мы покладываем и можно быстренько сполоснуться под душиком!"
Пц, никсоводы мастера этодругина и переобувки в воздухе 80 lvl xD

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

14. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +1 +/–

Сообщение от morphe (?), 16-Окт-25, 14:02

Гитхаб экшоны в nixos не используются ни для чего серьёзного, лишь для проверки кодстайла и прочего, я удивлён что там вообще какие-то credentials существуют зачем-то
Чтобы атака к чему-либо привела, атаковать надо hydra.nixos.org, что уже и является CI. Либо хотя бы ofborg, потому что у него право на мерж есть и доступ хоть к каким то сборочным машинам.

Ответить | Правка | Наверх | Cообщить модератору

15. Скрыто модератором +/–

Сообщение от Аноним (10), 16-Окт-25, 14:40

По делу есть что сказать? Не вижу контраргумента против быстрого восстановления чистой системы. В других дистрибутивах ты НЕ сможешь найти зловред и тебе придётся либо целиком накатывать бекап, либо переустанавливать. Теперь понятно?

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

13. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..." +/–

Сообщение от Amerigo (?), 16-Окт-25, 13:05

Плюсом можно добавить модуль impermanence, который позволяет самому добавлять директории на диск, а остальную систему держать в tmpfs (хоть весь / если захочется). B получается чистая и предсказуемая система, которая не захламляется мусором и кэшем.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Скрыто модератором	–5 +/–
Сообщение от наблюдатель (?), 16-Окт-25, 08:51
Я так понимаю ИИ в никсы уже завезли. Очень похоже на уязвимость в гитхабе с выдачей ИИ паролей при прямом запросе.
Ответить \| Правка \| Наверх \| Cообщить модератору

2. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	–3 +/–
Сообщение от Жироватт (ok), 16-Окт-25, 09:16
Надо было запилить свой гитхаб, но только очень функциональный (без всякой вебни и императивщины), с монадами и без постэффектов, а так же декларативный.
Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
	Сообщение от анон (?), 16-Окт-25, 09:18
	а вообще хотелось бы такого
	Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+2 +/–
	Сообщение от Грустный (?), 16-Окт-25, 09:24
	> свой гитхаб > но только очень функциональный И пусть каждый pull request требует доказательство от противного. (ФωФ)
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	5. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	–1 +/–
	Сообщение от Жироватт (ok), 16-Окт-25, 09:39
	Но сначала нужно доказать, что тот, кто будет доказывать пулл реквест - является противным.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
	Сообщение от Аноним (6), 16-Окт-25, 10:10
	Все пулл-реквесты по умолчанию реджектятся, а дальше вступает в дело функция, которая выведет доказательство.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
	Сообщение от Аноним (-), 16-Окт-25, 10:18
	Darcs. Ну или написанный на Rust Pijul. Осталось написать сопоставимый с GitHub сайт на Haskell (бэк и, возможно, фронт), PureScript (фронт), Elm (фронт).
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	8. Скрыто модератором	–1 +/–
	Сообщение от User (??), 16-Окт-25, 10:25
	Можно даже без git! Почему у каких-то бородатых луддитов из OpenBSD есть свой got - а у Самой Передовой В Мире Системы с Самым ЛуДшим Пакетным Менеджером (Который позволяет держать в системе ВСЕ версии пакета одновременно!*) - своей Самой Лудшей В Мире (Основанной на наработках пакетного менеджера) системы управления версиями нет?!! ("Все" означает "все, КРОМЕ луддитских X11 от Васянов)
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору

10. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
Сообщение от Аноним (10), 16-Окт-25, 11:44
> Самая надежная NixOS. Именно так. В других дистрибутивах были уязвимости как в самой инфраструктуре, так и в пакетных менеджерах. Но, в отличие от nixos, в других дистрибутивах ты можешь лишь гадать что у тебя там зловред в системе изгадил. В nixos пересобрать систему ты можешь в любой момент, сделать её чистой установкой одной командой.
Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
	Сообщение от Аноним (10), 16-Окт-25, 11:45
	Комментарий для ответа пропал, что же...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	–1 +/–
	Сообщение от Мимопроходил (?), 16-Окт-25, 13:01
	>> Самая надежная NixOS. > Именно так. В других дистрибутивах были уязвимости как в самой инфраструктуре, так > и в пакетных менеджерах. Но, в отличие от nixos, в других > дистрибутивах ты можешь лишь гадать что у тебя там зловред в > системе изгадил. В nixos пересобрать систему ты можешь в любой момент, > сделать её чистой установкой одной командой. Ну да, ну да, как никсоводам набрасывать в новостях по другим дистрам, когда там обcepyтся, так это за здоров живёшь, а как у никсоводов жиденько тренькнули в штанишки, то сразу: "ну, оно всё же не такое жиденькое, как у других, и даже не такое пачкающее, и не такое вонючее, вон клеёночку мы покладываем и можно быстренько сполоснуться под душиком!" Пц, никсоводы мастера этодругина и переобувки в воздухе 80 lvl xD
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	14. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+1 +/–
	Сообщение от morphe (?), 16-Окт-25, 14:02
	Гитхаб экшоны в nixos не используются ни для чего серьёзного, лишь для проверки кодстайла и прочего, я удивлён что там вообще какие-то credentials существуют зачем-то Чтобы атака к чему-либо привела, атаковать надо hydra.nixos.org, что уже и является CI. Либо хотя бы ofborg, потому что у него право на мерж есть и доступ хоть к каким то сборочным машинам.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	15. Скрыто модератором	+/–
	Сообщение от Аноним (10), 16-Окт-25, 14:40
	По делу есть что сказать? Не вижу контраргумента против быстрого восстановления чистой системы. В других дистрибутивах ты НЕ сможешь найти зловред и тебе придётся либо целиком накатывать бекап, либо переустанавливать. Теперь понятно?
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	13. "Уязвимость в обработчике GitHub Actions, позволявшая скомпро..."	+/–
	Сообщение от Amerigo (?), 16-Окт-25, 13:05
	Плюсом можно добавить модуль impermanence, который позволяет самому добавлять директории на диск, а остальную систему держать в tmpfs (хоть весь / если захочется). B получается чистая и предсказуемая система, которая не захламляется мусором и кэшем.
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору