GitHub med initiativet , der har til formål at organisere samarbejde mellem sikkerhedseksperter fra forskellige virksomheder og organisationer for at identificere sårbarheder og hjælpe med at afhjælpe dem i koden for open source-projekter.
Alle interesserede virksomheder og individuelle specialister inden for computer-sikkerhed inviteres til at deltage i initiativet. For identifikation af sårbarheder en belønning på op til 3000 dollars afhængig af alvorligheden af problemet og kvaliteten af den udarbejdede rapport. Oplysninger om problemer anbefales at indsendes via værktøjet , som gør det muligt at oprette en skabelon for sårbar kode til at identificere tilstedeværelsen af lignende sårbarheder i koden for andre projekter (CodeQL giver mulighed for semantisk kodeanalyse og at danne forespørgsler til søgning af bestemte konstruktioner).
Initiativet har allerede fået deltagelse fra sikkerhedsforskere fra virksomheder som F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber og
VMWare, som i de sidste to år og 105 sårbarheder i projekter som Chromium, libssh2, Linux-kernen, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode og Hadoop.
Den sikkerhedscyklus, der er foreslået i GitHub, indebærer, at deltagerne i GitHub Security Lab identificerer sårbarheder, hvorefter oplysninger om problemerne vil blive formidlet til vedligeholdere og udviklere, som vil arbejde på at udvikle rettelser, aftale tid for offentliggørelse af oplysninger om problemet og informere afhængige projekter om behovet for at opdatere til en version, der løser sårbarheden. I databasen vil der blive lagt CodeQL-skabeloner, som forhindrer gentagelse af tidligere løste problemer i koden, der er tilgængelig på GitHub.
Via GitHub-grænsefladen kan man nu Få CVE-identifikationen for det identificerede problem og forberede en rapport, og GitHub vil selv sende de nødvendige notifikationer og organisere deres koordinerede løsning. Desuden, efter at problemet er løst, sender GitHub automatisk pull-anmodninger for at opdatere afhængighederne relateret til det sårbare projekt.
GitHub har også indført i kataloget over sårbarheder , hvor der offentliggøres oplysninger om sårbarheder, der påvirker projekter på GitHub, samt information til sporing af påvirkede pakker og repositories. De CVE-identifikatorer, der nævnes i kommentarer på GitHub, henviser nu automatisk til detaljerede oplysninger om sårbarheden i den præsenterede database. For at automatisere arbejdet med databasen er der foreslået en separat .
Det rapporteres også om opdateringen for at beskytte imod i offentligt tilgængelige repositories
fortroligt data såsom autentificeringstokens og adgangsnøgler. Under commit-processen scanner værktøjet for standardformater af nøgler og tokens, der anvendes , herunder API'er fra Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack og Stripe. Hvis der opdages et token, sendes der en anmodning til tjenesteudbyderen for at bekræfte lækagen og tilbagekalde de kompromitterede tokens. Fra i går er der udover de tidligere understøttede formater også tilføjet støtte til at identificere tokens fra GoCardless, HashiCorp, Postman og Tencent.
Kilde: opennet.ru
