GitHub обяви за нулиране на всичките удостоверени сесии в GitHub.com и необходимостта от повторно свързване с услугата поради открит проблем със сигурността. Според информацията, проблемът се проявява много рядко и засяга само малък брой сесии, но потенциално представлява голяма заплаха, тъй като позволява на един удостоверен потребител да получи достъп до сесията на друг потребител.
Уязвимостта е причинена от състояние на състезание при обработката на заявки от бекенда и води до маршрутизация на сесията на потребителя в браузъра на друг потребител, което позволява пълно извличане на чужда сесийна бисквитка. Според приблизителната оценка, неправилното пренасочване е засегнало около 0.001% от всички удостоверени сесии на GitHub.com. Утвърдена е, че подобно пренасочване се е случвало при случайно стечение на обстоятелства, които не могат да бъдат умишлено предизвикани от действията на злонамерени лица. Промените, които предизвикват проблема, са направени на 8 февруари и са коригирани на 5 март. На 8 март са добавени допълнителни проверки с по-обща защита от подобен тип грешки.
Източник: opennet.ru
