GitHub стартира съвместен проект за откриване на уязвимости в отвореното софтуерно обеспечение

GitHub представи с инициатива GitHub Security Lab, насочена към организиране на съвместната работа на експерти по сигурността от различни компании и организации с цел откриване на уязвимости и подпомагане на тяхното отстраняване в кода на отворените проекти.

Всички заинтересовани компании и индивидуални специалисти по компютърна сигурност са поканени да се включат в инициативата. За откритие на уязвимости предназначена е възможност за изплащане на награда до 3000 долара, в зависимост от опасността на проблема и качеството на подготовката на отчета. За предоставяне на информация за проблемите се предлага да се използва инструментариумът CodeQL, който позволява разработването на шаблон на уязвим код за откриване на съществуването на подобна уязвимост в кода на други проекти (CodeQL дава възможност за семантичен анализ на кода и за изграждане на запитвания за търсене на определени конструкции).

В инициативата вече се присъединиха изследователи по сигурността от компании като F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber и
VMWare, които в последните две години оцениха и помогнаха за поправката на 105 уязвимости в такива проекти като Chromium, libssh2, ядрото на Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode и Hadoop.

Предложеният в GitHub жизнен цикъл на поддържане на сигурността на кода предвижда, че участниците в GitHub Security Lab ще откриват уязвимости, след което информацията за проблемите ще достига до мейнтейнерите и разработчиците, които ще разработват корекции, да се съгласуват по времето за разкриване на информацията за проблема и да информират зависимите проекти за необходимостта от инсталиране на версия с решение на уязвимостта. В базата ще бъдат предоставяни шаблони CodeQL, позволяващи да се предотврати повторното появяване на отстранени проблеми в наличния на GitHub код.

Чрез интерфейса на GitHub вече може да получат да бъде създаден CVE идентификатор за открития проблем и да бъде подготвен отчет, а GitHub вече сам ще разпрати необходимите уведомления и ще организира координирано отстраняване. Освен това, след отстраняването на проблема, GitHub автоматично ще изпрати pull-заявки за актуализиране на зависимостите, свързани с уязвимия проект.

GitHub също е въвел в своя каталог на уязвимостите GitHub Advisory Database, в който се публикуват информация за уязвимости, касаещи проекти в GitHub, и информация за проследяване на засегнати пакети и репозитории. Споменатите в коментарите на GitHub CVE-идентификатори вече автоматично сочат към детайлна информация за уязвимостите в предоставената база данни. За автоматизация на работата с базата данни е предложен отделен API.

Също така се съобщава за актуализация услугата за защита от попадане в публично достъпни репозитории
конфиденциални данни, като токени за удостоверяване и ключове за достъп. По време на комита скенерът проверява стандартните формати на ключовете и токените, използвани от 20 облачни доставчици и услуги, включително API на Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack и Stripe. При установяване на токен, заявка за потвърждение на изтичането и отнемане на компрометирани токени се изпраща на доставчика на услугата. От вчера, освен вече поддържаните формати, е добавена поддръжка за разпознаване на токени на GoCardless, HashiCorp, Postman и Tencent.

Източник: opennet.ru