পরিবেশ পরিবর্তনশীল লিক দুর্বলতার কারণে GitHub GPG কী আপডেট করেছে

GitHub একটি দুর্বলতা প্রকাশ করেছে যা উৎপাদন পরিকাঠামোতে ব্যবহৃত পাত্রে উন্মুক্ত পরিবেশের ভেরিয়েবলের বিষয়বস্তুতে অ্যাক্সেসের অনুমতি দেয়। একটি বাগ বাউন্টি অংশগ্রহণকারী নিরাপত্তা সমস্যা খুঁজে বের করার জন্য একটি পুরস্কার চেয়ে দুর্বলতা আবিষ্কার করেছে। সমস্যাটি ব্যবহারকারী সিস্টেমে চলমান GitHub.com পরিষেবা এবং GitHub এন্টারপ্রাইজ সার্ভার (GHES) কনফিগারেশন উভয়কেই প্রভাবিত করে।

লগের বিশ্লেষণ এবং অবকাঠামোর নিরীক্ষা অতীতে সমস্যাটি রিপোর্ট করা গবেষকের কার্যকলাপ ছাড়া দুর্বলতার শোষণের কোনো চিহ্ন প্রকাশ করেনি। যাইহোক, অবকাঠামোটি সমস্ত এনক্রিপশন কী এবং শংসাপত্রগুলি প্রতিস্থাপনের জন্য শুরু করা হয়েছিল যেগুলি আক্রমণকারীর দ্বারা দুর্বলতাকে কাজে লাগালে সম্ভাব্য আপস করা যেতে পারে। অভ্যন্তরীণ কীগুলি প্রতিস্থাপনের ফলে 27 থেকে 29 ডিসেম্বর পর্যন্ত কিছু পরিষেবা ব্যাহত হয়েছিল। GitHub অ্যাডমিনিস্ট্রেটররা গতকাল করা ক্লায়েন্টদের প্রভাবিত করে কীগুলির আপডেটের সময় করা ভুলগুলি বিবেচনা করার চেষ্টা করেছিল।

অন্যান্য জিনিসের মধ্যে, সাইটে বা কোডস্পেস টুলকিটের মাধ্যমে পুল অনুরোধগুলি গ্রহণ করার সময় GitHub ওয়েব এডিটরের মাধ্যমে তৈরি করা কমিটগুলিকে ডিজিটালি সাইন করার জন্য ব্যবহৃত GPG কী আপডেট করা হয়েছে। পুরানো কী 16 জানুয়ারী মস্কোর সময় 23:23 এ বৈধ হওয়া বন্ধ হয়ে গেছে এবং গতকাল থেকে এর পরিবর্তে একটি নতুন কী ব্যবহার করা হয়েছে। XNUMX জানুয়ারী থেকে, পূর্ববর্তী কী সহ স্বাক্ষরিত সমস্ত নতুন প্রতিশ্রুতি গিটহাবে যাচাইকৃত হিসাবে চিহ্নিত করা হবে না।

16 জানুয়ারী এপিআই-এর মাধ্যমে গিটহাব অ্যাকশন, গিটহাব কোডস্পেস এবং ডিপেন্ডাবট-এ পাঠানো ব্যবহারকারীর ডেটা এনক্রিপ্ট করতে ব্যবহৃত পাবলিক কীগুলিও আপডেট করেছে। যে ব্যবহারকারীরা GitHub-এর মালিকানাধীন পাবলিক কীগুলি স্থানীয়ভাবে কমিট চেক করতে এবং ট্রানজিটে ডেটা এনক্রিপ্ট করার জন্য ব্যবহার করে তাদের নিশ্চিত করার পরামর্শ দেওয়া হয় যে তারা তাদের GitHub GPG কীগুলি আপডেট করেছে যাতে কীগুলি পরিবর্তন করার পরে তাদের সিস্টেমগুলি কাজ করতে থাকে৷

GitHub ইতিমধ্যেই GitHub.com-এ দুর্বলতা সংশোধন করেছে এবং GHES 3.8.13, 3.9.8, 3.10.5 এবং 3.11.3-এর জন্য একটি পণ্য আপডেট প্রকাশ করেছে, যার মধ্যে CVE-2024-0200 এর জন্য একটি ফিক্স অন্তর্ভুক্ত রয়েছে (প্রতিফলনের অনিরাপদ ব্যবহার কোড এক্সিকিউশন বা সার্ভার সাইডে ব্যবহারকারী-নিয়ন্ত্রিত পদ্ধতি)। স্থানীয় GHES ইনস্টলেশনের উপর আক্রমণ চালানো হতে পারে যদি আক্রমণকারীর প্রতিষ্ঠানের মালিকের অধিকারের সাথে একটি অ্যাকাউন্ট থাকে।

উত্স: opennet.ru