GitHub стартира съвместен проект за идентифициране на уязвимости в открито ПО

GitHub представи с инициативата GitHub Security Lab, насочена към организиране на сътрудничество между експерти по сигурността от различни компании и организации за идентифициране на уязвимости и подпомагане за тяхното отстраняване в кода на откритите проекти.

Към инициативата се канят всички заинтересовани компании и индивидуални специалисти по компютърна сигурност. За идентифициране на уязвимост се предвижда плащане на награда в размер до 3000 долара, в зависимост от сериозността на проблема и качеството на подготовката на отчета. За изпращане на информация за проблемите се предлага да се използва инструментариум CodeQL, който позволява да се създаде шаблон на уязвимия код за идентифициране на наличието на подобна уязвимост в кода на други проекти (CodeQL предоставя възможност за семантичен анализ на кода и генериране на заявки за търсене на определени конструкции).

Към инициативата вече се присъединиха изследователи по сигурността от компании като F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber и
VMWare, които през последните две години установиха и помогнаха за поправянето на 105 уязвимости в проекти като Chromium, libssh2, ядрото на Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode и Hadoop.

Предложеният в GitHub жизнен цикъл за поддържане на безопасността на кода предвижда, че участниците в GitHub Security Lab ще идентифицират уязвимости, след което информацията за проблемите ще бъде предоставена на мейнтейнерите и разработчиците, които ще работят по корекциите, ще съгласуват времето за разкриване на информацията за проблема и ще информират зависимите проекти за необходимостта от инсталиране на версия с отстранени уязвимости. В базата данни ще се помещават шаблони CodeQL, позволяващи да се предотврати повторната поява на отстранени проблеми в кода, наличен в GitHub.

Чрез интерфейса на GitHub сега е възможно да получи CVE-идентификатор за идентифицирания проблем и да се подготви отчет, а GitHub вече автоматично ще разпрати необходимите уведомления и ще организира координирано отстраняване на проблема. Освен това, след разрешаването на проблема, GitHub автоматично ще изпрати pull-заявки за актуализиране на свързаните с уязвимия проект зависимости.

GitHub също така добави в специален каталог уязвимости GitHub Advisory Database, в който са публикувани данни за уязвимости, засягащи проекти в GitHub, и информация за проследяване на уязвимите пакети и репозитории. Споменатите в коментарите в GitHub CVE-идентификатори сега автоматично препращат към подробна информация за уязвимостта в предоставената база данни. За автоматизация на работата с базата данни е предложен отделен API.

Също така се съобщава за актуализация услугата за защита от попадане на в публично достъпни репозитории
конфиденциални данни, като токени за автентикация и ключове за достъп. По време на комитването скенерът проверява типичните формати на ключове и токени, използвани от 20 облачни провайдера и услуги, включително API на Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack и Stripe. При откриване на токен се изпраща заявка до предоставящия услуга за потвърждение на изтичането и отзоваване на компрометираните токени. От вчера, в допълнение към преди това поддържаните формати, е добавена поддръжка за разпознаване на токени на GoCardless, HashiCorp, Postman и Tencent.

Източник: opennet.ru