Strix за 25 минут забрала админский доступ к GitHub сервиса запуска моделей

Компания Strix получила права администратора в рабочем GitHub сервиса Baseten за 25 минут. Baseten сдаёт в аренду запуск моделей; Strix занимается автоматизированным поиском уязвимостей.

Цепочка началась с сервиса Harbor и утёкшего токена доступа GitHub — личного ключа, по которому можно действовать от имени сотрудника. Через него исследователи дошли до полного контроля над рабочими репозиториями компании.

Разбор опубликован после того, как дыру закрыли.