Miri'nin Çevresel Değişkenleri Cachelerse Sırlar Sızabilir

Rust Security Response Team, Miri'nin tüm ortam değişkenlerini target/ klasörüne sakladığını ve bunların cache'de kalıcı hale geldiğini keşfetti. Tek başına bir güvenlik açığı olmasa da, GitHub Actions'ın cache davranışıyla birleşince ciddi bir sıkıntı ortaya çıkıyor: PR'lar bu cache'i okuyabiliyor ve sırdaş bilgiler (API anahtarları, tokenlar, şifreler) elde edebiliyor.

GitHub Actions tipik olarak main ve diğer dalların cache'e yazmasına izin veriyor, PR'lar ise sadece okuma yapabiliyor (cache zehirlenmesini önlemek için). Ama sorun şu: herhangi biri PR açabilir, ve ilk PR'dan sonra CI her push'ta çalışır. Daha önce bir değişiklik merge etmiş biri, cache'deki target/ klasöründen bilgi çıkartmak için PR'da CI'ı tetikleyebilir, sonra ikinci bir commit ile izlerini silebilir.

Praktik olarak, eğer sen Rust projelerinde CI hızını artırmak için target/ klasörünü cache'liyorsan ve ortamda hassas değişkenler varsa, bu riski göz önünde bulundur. Çözüm basit: cache stratejisini daralt, sadece gerekli bölümleri (örneğin cargo registry) cache'le ya da PR'lardan cache yazma iznini tamamen kaldır. Ayrıca, Miri ve benzer araçlar için ortam değişkenlerini cache'den hariç tutmak ya da build sırasında temizlemek de iyi bir pratik. GitHub Actions secret'larını kullanırken, bunların PR context'inde otomatik olarak maskelendiğini hatırla, ama cache'de saklı kalmış veriler bu korumanın dışında kalıyor.