Un atacante podría haber aprovechado una vulnerabilidad de seguridad recientemente identificada en el repositorio oficial de Homebrew Cask para ejecutar código arbitrario en las máquinas de los usuarios que tienen Homebrew instalado.

El problema, que fue informado a los mantenedores el 18 de abril por un investigador de seguridad japonés llamado RyotaK, surgió de la forma en que se manejaron los cambios de código en su repositorio de GitHub, lo que resultó en un escenario en el que una solicitud de extracción maliciosa, es decir, los cambios propuestos, podrían ser revisado y aprobado automáticamente. La falla se solucionó el 19 de abril.

Homebrew es una solución de gestión de paquetes de software gratuita y de código abierto que permite la instalación de software en el sistema operativo macOS de Apple, así como en Linux. Homebrew Cask amplía la funcionalidad para incluir flujos de trabajo de línea de comandos para aplicaciones macOS basadas en GUI, fuentes, complementos y otro software de código no abierto.

«La vulnerabilidad descubierta permitiría a un atacante inyectar código arbitrario en un barril y fusionarlo automáticamente», dijo Markus Reiter de Homebrew. «Esto se debe a una falla en el git_diff dependencia de la revisión-cask-pr GitHub Action, que se usa para analizar la diferencia de una solicitud de extracción para su inspección. Debido a esta falla, se puede engañar al analizador para que ignore por completo las líneas infractoras, lo que resulta en la aprobación exitosa de una solicitud de extracción maliciosa.

En otras palabras, la falla significó que el código malicioso inyectado en el repositorio de Cask se fusionó sin ninguna revisión ni aprobación.

El investigador también envió una solicitud de extracción de prueba de concepto (PoC) que demostraba la vulnerabilidad, luego de lo cual se revirtió. A la luz de los hallazgos, Homebrew eliminó la acción de GitHub «automerge» y deshabilitó y eliminó la acción de GitHub «review-cask-pr» de todos los repositorios vulnerables.

Además, se eliminó la capacidad de que los bots se comprometan con los repositorios homebrew / cask *, y todas las solicitudes de extracción requieren una revisión y aprobación manual por parte de un mantenedor en el futuro. No se requiere ninguna acción del usuario.

«Si un actor malicioso abusó de esta vulnerabilidad, podría usarse para comprometer las máquinas que ejecutan brew antes de que se revierta», dijo el investigador. «Así que creo firmemente que se requiere una auditoría de seguridad contra el ecosistema centralizado».