开源包管理器Homebrew被曝 RCE，影响 macOS 和 Linux 系统

4月18日，日本安全研究员 RyotaK 将该漏洞告知维护人员。该漏洞源自 GitHub 仓库中代码变更被处理的方式，从而导致恶意 pull 请求即被提议的变更被自动审计和批准。4月19日该漏洞修复。

Homebrew 是一款开源的软件包管理器解决方案，可在苹果的 macOS 操作系统以及 Linux 操作系统上安装。Homebrew Cask 将该功能扩展，可包含基于 macOS 应用程序、字体、插件和其它非开源软件的命令行工作流。

Homebrew 工作人员 Markus Reiter 指出，“所发现漏洞可导致攻击者将任意代码注入 cask，并自动将其合并。这是因为 review-cask-pr GitHub Action（用于解析 pull 请求的 diff 进行审查）的 git_diff 依赖关系中存在一个缺陷，导致解析器可被欺骗，从而完全忽视恶意行，导致恶意 pull 请求收到批准。”换句话说，该缺陷意味着在无需审计和批准的情况下即可将恶意代码注入 Cask 仓库中。

研究员 RyotaK 还提交了漏洞的相关 PoC，之后漏洞得以修复。Homebrew 还删除了“自动合并” GitHub Action 并从所有易受攻击仓库中禁用并删除了 “review-cask-pr” GitHub Action。

另外，现已删除僵尸网络提交到 homebrew/cask 仓库的能力，所有 pull 请求都需要维护人员进行手动审计和批准。无需任何用户交互。

RyotaK 指出，“如果漏洞遭恶意人员滥用，则可被用于攻陷运行 brew 的机器，因此我强烈建议对集中式生态系统进行安全审计。”

详情分析可见：https://blog.ryotak.me/post/homebrew-security-incident-en/。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。