نظرة عامة تنفذيّة والأهميّة المعماريّة

نشر فريق الاستجابة الأمنية لـ Rust تحليلًا أمنيًا حاسمًا ومعالجة فورية لسلوك معماري في Miri، وهو مُفسِّر تجريبي قائم على MIR في لغة Rust. تنشأ المشكلة من كيفية قيام cargo miri تاريخياً بتسلسل وتخزين متغيرات البيئة مباشرة في دليل التجميع target/ لربط الحالة عبر استدعاءات Miri الداخلية المتعددة. وفي حين نجح اختيار التصميم هذا في الحفاظ على سياق التنفيذ اللازم، إلا أنه أدى إلى إنشاء ثغرة أمنية خطيرة لاحقة عند دمجه مع منصات التكامل المستمر (CI) الشائعة، وتحديداً آليات التخزين المؤقت لـ GitHub Actions.

في أمان سلسلة توريد البرمجيات الحديثة، يشكل تقاطع التخزين المؤقت المستمر وworkflows طلبات السحب (PR) ناقل تهديد معقدًا. تتيح GitHub Actions للمستودعات تخزين عناصر البناء مؤقتًا مثل target/ لتحسين أوقات تنفيذ خط الأنابيب. عادةً، يفرض المشرفون حدود وصول حيث تكتب الفروع الرئيسية في ذاكرة التخزين المؤقت، بينما يمكن للفروع غير الموثوقة لطلبات السحب القراءة منها فقط لمنع تسمم ذاكرة التخزين المؤقت. ومع ذلك، نظراً لأن Miri احتفظت بخريطة متغيرات البيئة بأكملها - بما في ذلك الرموز السرية وبيانات الاعتماد - داخل target/، فإن أي جهة خبيثة قادرة على فتح طلب سحب يمكنها تشغيل تشغيل تكامل مستمر (CI)، واستخراج تلك الأسرار من ذاكرة التخزين المؤقت المشتركة، ومن ثم محو آثارها عن طريق دفع التغييرات بالقوة (force-pushing) أو الكتابة فوق الالتزامات. يحلل هذا التحليل آليات التعرض، والإصلاحات المعمارية المطبقة، خطوات التخفيف اللازمة لمشرفي Rust.

التحسينات الأساسية وبيئة عمل المطورين

تغير المعالجة قصيرة المدى التي نفذها فريق تطوير Miri بشكل جذري كيفية اعتراض متغيرات البيئة والحفاظ عليها أثناء التجميع. فبدلاً من التقاط لقطة شاملة لبيئة التنفيذ وقت التشغيل بأكملها، تقوم منطق Miri المحدث بتصفية والحفاظ صراحة على المساحات الأساسية المعينة فقط. وتحديداً، يقوم الإطار الآن بعزل متغيرات البيئة CARGO_* - مع تجريد بيانات الاعتماد الحساسة صراحة مثل CARGO_*_TOKEN - إلى جانب متغير OUT_DIR القياسي. يضمن هذا النطاق الدقيق أن عمليات Miri الداخلية تحتفظ بمعلمات البناء اللازمة دون تسلسل بيانات اعتماد وقت التشغيل الحساسة بلا مبالاة في عناصر البناء المخصصة للاستمرار في ذاكرة التخزين المؤقت.

من منظور بيئة عمل المطورين، لا يتطلب هذا التحديث أي إعادة تكوين لخطوات العمل للمشاريع التي تلتزم بنظافة البيئة الآمنة. ومع ذلك، فإنه يفرض إعادة تقييم هيكلية لكيفية تعامل مسارات التكامل المستمر مع الأسرار. ومن خلال تضييق نافذة التعرض على مستوى مجموعة الأدوات، يُظهر Rust موقفًا استباقيًا بشأن تصلب سلسلة التوريد. لم يعد على المطورين الاختيار بين أوقات البناء المثلى عبر التخزين المؤقت والأمان المطلق؛ فالمترجم نفسه يعمل الآن كحدود وقائية، مما يمنع تسرب الأسرار عرضيًا حتى مفرطة التساهل.

مصفوفة المقارنة المعمارية

التغييرات الكاسحة وتحذيرات الترحيل

يقدم هذا الإصدار تغييرات مستهدفة قد تؤثر على سير العمل المتخصص الذي يعتمد على تمرير متغيرات بيئة تعسفية إلى Miri من خلال نصوص البناء أو الاستدعاءات المخصصة. إذا كانت مجموعة اختبار Miri الخاصة بك تعتمد على متغيرات بيئة غير CARGO_* يتم حقنها عالميًا في وظيفة التكامل المستمر، فلن تكون تلك المتغيرات مرئية بعد الآن لمثيلات Miri عبر عمليات التشغيل المخزنة مؤقتًا.

يجب على المشاريع تدقيق تكوينات التكامل المستمر الخاصة بها لضمان تمرير قيم التكوين المطلوبة صراحةً عبر أعلام سطر الأوامر أو المتغيرات المقيدة المسبوقة بـ CARGO_* بدلاً من الاعتماد على تسرب بيئة المحيط. علاوة على ذلك، يجب على المشرفين الذين قاموا مسبقًا بتشغيل تكوينات عرضة للخطر مسح ذاكرات التخزين المؤقت الحالية لـ GitHub Actions فورًا وتدوير أي أسرار ربما كانت مكشوفة لمسارات تنفيذ طلبات السحب التاريخية.

دليل الترقية خطوة بخطوة

لضمان حماية المستودع الخاص بك تمامًا ضد تسرب متغيرات البيئة عبر Miri وذاكرة التخزين المؤقت لـ GitHub Actions، قم بتنفيذ خطوات المعالجة التالية:

1. تحديث مجموعة الأدوات أو تطبيق الإصلاحات السريعة تأكد من أنك تستخدم مجموعة أدوات ليلية تحتوي على إصلاح Miri، أو قم بتنفيذ إصلاح سريع في ملف سير العمل الخاص بك عن حصار الأسرار حصريًا على الخطوات التي لا تخص Miri.

2. عزل أسرار سير العمل قم بتعديل تكوين YAML الخاص بـ GitHub Actions لإزالة أسرار البيئة العالمية، وتمريرها فقط إلى خطوات محددة تتطلب المصادقة:

jobs:
miri-test:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Run Miri
# يتم استبعاد الأسرار من بيئة هذه الخطوة
run: cargo miri test

3. مسح ذاكرات التخزين المؤقت وتدوير بيانات الاعتماد انتقل إلى إعدادات GitHub الخاصة بمستودعك تحت Actions > Caches، واحذف جميع إدخالات ذاكرة التخزين المؤقت الموجودة لـ target/، وقم فورًا بتدوير أي رموز مميزة أو مفاتيح واجهة برمجة تطبيقات كانت يمكن الوصول إليها أثناء عمليات تشغيل التكامل المستمر السابقة.