GitHub разкри информация за уязвимост, която позволява достъп до съдържанието на променливи на средата, експонирани в контейнери, използвани в работната инфраструктура. Уязвимостта е идентифицирана от участник в програмата Bug Bounty, който се е квалифицирал за възнаграждение за открития в областта на сигурността. Проблемът засяга както услугата GitHub.com, така и конфигурации на GitHub Enterprise Server (GHES), изпълнявани на системите на потребителите.
Анализът на логовете и одитът на инфраструктурата не показват следи от експлоатация на уязвимостта в миналото, освен активността на изследователя, съобщил за проблема. Въпреки това, в инфраструктурата е стартирана смяна на всички ключове за криптиране и идентификационни данни, които могат да са потенциално компрометирани в случай на експлоатация на уязвимостта от злонамерен участник. Смяната на вътрешните ключове доведе до неработоспособност на някои услуги от 27 до 29 декември. Администраторите на GitHub търсеха да учтут допуснатите грешки при обновлението на ключовете, което бе извършено вчера, засягащи клиентите.
Между другото беше обновен GPG-ключът, използван за удостоверяване на цифрови подписи на комити, създадени чрез уеб редактора на GitHub при приемане на pull-заявки на сайта или чрез инструмента Codespace. Старият ключ прекрати действието си на 16 януари в 23:00 часа московско време, и вместо него от вчера се прилага нов ключ. Започвайки от 23 януари, всички нови комити, подписани с предишния ключ, няма да бъдат отбелязани на сайта GitHub като проверени.
На 16 януари също бяха обновени публичните ключове, използвани за криптиране на данни, изпращани от потребители чрез API в GitHub Actions, GitHub Codespaces и Dependabot. Потребителите, които използват публични ключове, принадлежащи на GitHub, за локална проверка на комити и криптиране на предавани данни, се препоръчва да се уверят, че са обновили GPG-ключовете на GitHub и техните системи продължават да функционират след извършената смяна на ключовете.
Компанията GitHub вече е отстранила уязвимостта на сайта GitHub.com и е издала обновление на продукта GHES 3.8.13, 3.9.8, 3.10.5 и 3.11.3, в което е отбелязано поправяне на CVE-2024-0200 (небезопасно използване на отражения, водещо до изпълнение на код или контролирани от потребителя методи от страната) сървър). Атаката срещу локалните инсталации на GHES може да бъде извършена, ако нападателят разполага с акаунт с права за управление на организацията (organization owner).
Източник: opennet.ru
