Vulnerabilidad en los archivos de configuración “package.json”, “tsconfig.json”, “.gitignore”, GitHub Workflows, “eslint”,” jest` en JavaScript en projen (CVE-2021-21423)

“projen” es una herramienta de generación de proyectos que sintetiza archivos de configuración de proyectos como “package.json”, “tsconfig.json”, “.gitignore”, GitHub Workflows, “eslint”,” jest`, y más, desde una definición well-typed escrita en JavaScript. Los usuarios de tipo de proyecto “NodeProject” de projen (incluido cualquier tipo de proyecto derivado de él) incluyen un flujo de trabajo “.github/workflows /rebuild-bot.yml” que puede permitir que cualquier usuario de GitHub active la ejecución de código no confiable en el contexto del repositorio "main" (en contraposición al de una bifurcación). En algunas situaciones, dicho código que no es de confianza puede potencialmente ser capaz de comprometerse con el repositorio "main". El flujo de trabajo rebuild-bot es activado con comentarios que incluyen “@projen rebuild” en la petición de extracción para activar un re-build del proyecto projen y la actualización de la petición de extracción con los archivos actualizados. Este flujo de trabajo es desencadenado por un evento “issue_comment” y, por lo tanto, siempre se ejecuta con un “GITHUB_TOKEN” que pertenece al repositorio en el que la petición de extracción es realizada (esto contrasta con los flujos de trabajo desencadenados por eventos “pull_request”, que siempre se ejecutan con un “GITHUB_TOKEN” perteneciente al repositorio desde el que la pull-request es realizada). Los repositorios que no contienen la protección de rama configurada en su rama predeterminada (normalmente, "main" o "master") posiblemente podrían permitir a un usuario no confiable conseguir acceso a secretos configurados en el repositorio (como tokens NPM, etc.). La protección de rama prohíbe esta escalada, ya que el "GITHUB_TOKEN" administrado no podría ser capaz de modificar el contenido de una rama protegida y los flujos de trabajo afectados deben definirse en la rama predeterminada