GitHub Copilot: Ευπάθεια επιτρέπει εξαγωγή κώδικα από ιδιωτικά αποθετήρια

Μια κρίσιμη ευπάθεια στο GitHub Copilot Chat θα μπορούσε να επιτρέψει σε επιτιθέμενους να εξάγουν κώδικα και μυστικά από ιδιωτικά αποθετήρια, χωρίς να γίνουν αντιληπτοί.

Το exploit συνδύαζε μια νέα τεχνική prompt injection με μια έξυπνη παράκαμψη του Content Security Policy (CSP) του GitHub, δίνοντας στον επιτιθέμενο σημαντικό έλεγχο πάνω στην έκδοση του Copilot του θύματος (συμπεριλαμβανομένης της δυνατότητας να προτείνει κακόβουλο κώδικα ή συνδέσμους). Η ευπάθεια αναφέρθηκε υπεύθυνα μέσω του HackerOne και το GitHub έχει από τότε διορθώσει το πρόβλημα.

Κρίσιμη ευπάθεια στο GitHub Copilot

Η επίθεση ξεκίνησε εκμεταλλευόμενη την context-aware φύση του GitHub Copilot. Ο AI βοηθός έχει σχεδιαστεί να χρησιμοποιεί πληροφορίες από ένα αποθετήριο, όπως κώδικα και pull requests, για να παρέχει σχετικές απαντήσεις.

Δείτε επίσης: Ενεργή εκμετάλλευση ευπάθειας σε Gladinet και TrioFox

Οι ερευνητές της Legit Security διαπίστωσαν ότι μπορούσαν να ενσωματώσουν μια κακόβουλη προτροπή απευθείας στην περιγραφή ενός pull request χρησιμοποιώντας τη λειτουργία “invisible comments” του GitHub. Ενώ το ίδιο το σχόλιο είναι κρυφό από την προβολή στη διεπαφή χρήστη, το Copilot επεξεργάζεται το περιεχόμενό του. Αυτό σημαίνει ότι ένας επιτιθέμενος θα μπορούσε να δημιουργήσει ένα pull request που περιέχει μια κρυφή κακόβουλη προτροπή. Αυτή η κατάσταση θα οδηγούσε σε παραβίαση του session οποιουδήποτε προγραμματιστή που θα χρησιμοποιούσε αργότερα το Copilot για να αναλύσει αυτό το αίτημα.

Επειδή το Copilot λειτουργεί με τα δικαιώματα του χρήστη που κάνει το αίτημα, η ενσωματωμένη προτροπή θα μπορούσε να διατάξει τον AI βοηθό να έχει πρόσβαση και να χειριστεί δεδομένα από τα ιδιωτικά αποθετήρια του θύματος.

Δείτε επίσης: Ευπάθειες στο 7-Zip επιτρέπουν RCE επιθέσεις

Παράκαμψη ασφάλειας

Ένα μεγάλο εμπόδιο για τον επιτιθέμενο είναι το αυστηρό Content Security Policy (CSP) του GitHub, που εμποδίζει τον AI να διαρρεύσει δεδομένα σε εξωτερικά domains. Το GitHub χρησιμοποιεί μια υπηρεσία proxy που ονομάζεται Camo για να κάνει ασφαλές renderng τις εικόνες από ιστότοπους τρίτων. Το Camo ξαναγράφει εξωτερικές διευθύνσεις URL εικόνων σε signed camo.githubusercontent.com links και μόνο οι διευθύνσεις URL με έγκυρη υπογραφή που παράγεται από το GitHub επεξεργάζονται. Αυτό εμποδίζει τους επιτιθέμενους να εισάγουν απλά ένα <img> tag για να στείλουν δεδομένα στον δικό τους διακομιστή. Για να παρακάμψει αυτόν τον περιορισμό, ο ερευνητής επινόησε μια ευφυή μέθοδο.

Προ-δημιούργησε ένα dictionary έγκυρων διευθύνσεων URL Camo για κάθε γράμμα και σύμβολο. Κάθε διεύθυνση URL έδειχνε σε ένα διαφανές εικονοστοιχείο 1×1 σε έναν διακομιστή που έλεγχε ο ερευνητής. Η τελική ενσωματωμένη προτροπή διέταξε το Copilot να βρει ευαίσθητες πληροφορίες σε ένα ιδιωτικό αποθετήριο του θύματος, όπως ένα κλειδί AWS ή μια περιγραφή ευπάθειας zero-day. Στη συνέχεια, θα “σχεδίαζε” αυτές τις πληροφορίες ως ακολουθία αόρατων εικόνων χρησιμοποιώντας το προ-δημιουργημένο λεξικό διευθύνσεων URL Camo.

Δείτε επίσης: Ευπάθεια στην πλατφόρμα Microsoft Events αποκαλύπτει προσωπικά δεδομένα

Όταν το πρόγραμμα περιήγησης του θύματος έκανε rendering αυτές τις εικόνες, έστελνε μια σειρά αιτημάτων στον διακομιστή του επιτιθέμενου, διαρρέοντας αποτελεσματικά τα ευαίσθητα δεδομένα χαρακτήρα προς χαρακτήρα. Το proof-of-concept exploit έδειξε την επιτυχή εξαγωγή κώδικα από ένα ιδιωτικό αποθετήριο. Σε απάντηση στην αποκάλυψη, το GitHub διόρθωσε την ευπάθεια στις 14 Αυγούστου 2025, απενεργοποιώντας πλήρως το image rendering στη λειτουργία Copilot Chat και εξουδετερώνοντας το κανάλι επίθεσης.