GitHub odhalil podrobnosti o zranitelnosti, která umožňuje přístup k obsahu proměnných prostředí vystavených v kontejnerech používaných v pracovní infrastruktuře. Zranitelnost byla odhalena účastníkem programu Bug Bounty, který se uchází o odměnu za nalezení bezpečnostních problémů. Problém se týká jak služby GitHub.com, tak konfigurací GitHub Enterprise Server (GHES) běžících na uživatelských systémech.
Analýza logů a audit infrastruktury neodhalily stopy po využívání zranitelnosti v minulosti kromě aktivity výzkumníka, který na problém upozornil. Nicméně byla v infrastruktuře zahájena výměna všech šifrovacích klíčů a přihlašovacích údajů, které mohly být potenciálně kompromitovány v případě zneužití zranitelnosti útočníkem. Výměna interních klíčů vedla k narušení chodu některých služeb od 27. do 29. prosince. Správci GitHub se pokusili vzít v úvahu chyby, které vznikly při včerejší aktualizaci klíčů, ovlivňující zákazníky.
Mezi jinými byl aktualizován GPG klíč používaný pro podepisování digitálních podpisů commitů vytvářených prostřednictvím webového editoru GitHub při přijímání pull requestů na webu či prostřednictvím nástroje Codespace. Starý klíč přestal platit 16. ledna ve 23 hodin moskevského času, a od včerejšího dne je používán nový klíč. Od 23. ledna nebudou všechny nové commity podepsané starým klíčem na webu GitHub označeny jako ověřené.
16. ledna byly také aktualizovány veřejné klíče používané k šifrování dat uživatelů zasílaných prostřednictvím API v GitHub Actions, GitHub Codespaces a Dependabot. Uživatelům, kteří používají pro místní kontrolu commitů a šifrování přenášených dat veřejné klíče patřící GitHubu, se doporučuje ujistit se, že aktualizovali GPG klíče GitHubu, a že jejich systémy pokračují v činnosti po provedené výměně klíčů.
Společnost GitHub již odstranila zranitelnost na webu GitHub.com a vydala aktualizaci produktu GHES 3.8.13, 3.9.8, 3.10.5 a 3.11.3, v níž je uvedeno opraveno CVE-2024-0200 (nebezpečné využití reflexí vedoucí k provádění kódu nebo uživatelsky řízených metod na straně serveru) serveru). Útok na místní instalace GHES mohl být proveden, pokud by útočník měl účet s oprávněními správce organizace (organizace vlastníka).
Zdroj: opennet.ru
