GitHub har offentliggjort oplysninger om en sårbarhed, der gør det muligt at få adgang til indholdet af miljøvariabler, der er indstillet i containere brugt i arbejdsmiljøet. Sårbarheden blev opdaget af en deltager i programmet Bug Bounty, som er berettiget til en belønning for at finde sikkerhedsproblemer. Problemet påvirker både tjenesten GitHub.com og konfigurationer af GitHub Enterprise Server (GHES), der kører på brugernes systemer.
Analyse af logs og revision af infrastrukturen viste ingen tegn på udnyttelse af sårbarheden tidligere, bortset fra aktiviteten fra forskeren, der rapporterede problemet. Ikke desto mindre blev der iværksat en udskiftning af alle krypteringsnøgler og legitimationsoplysninger i infrastrukturen, som potentielt kunne være kompromitteret, hvis sårbarheden blev udnyttet af en angriber. Udskiftningen af de interne nøgler førte til forstyrrelser i nogle tjenester fra den 27. til den 29. december. GitHub-administratorer forsøgte at tage hensyn til begåede fejl ved den igangværende opdatering af nøglerne, der påvirker kunderne.
Blandt andet blev GPG-nøglen opdateret, som bruges til at signere digitale signaturer af commits oprettet via GitHub's web-editor ved accept af pull-anmodninger på webstedet eller gennem værktøjet Codespace. Den gamle nøgle ophørte med at være gyldig den 16. januar kl. 23:00 Moskva-tid, og fra i går anvendes en ny nøgle. Fra den 23. januar vil alle nye commits, der er signeret med den gamle nøgle, ikke blive markeret som verificerede på GitHub-webstedet.
Den 16. januar blev også de åbne nøgler opdateret, der bruges af brugeren til at kryptere data sendt via API til GitHub Actions, GitHub Codespaces og Dependabot. Brugere, der anvender GitHub's åbne nøgler til lokal verifikation af commits og kryptering af overførte data, opfordres til at sikre sig, at de har opdateret GitHub GPG-nøglerne, og at deres systemer fortsætter med at fungere efter udskiftningen af nøglerne.
GitHub har allerede løst sårbarheden på GitHub.com og har udgivet produktopdateringer til GHES 3.8.13, 3.9.8, 3.10.5 og 3.11.3, i hvilken dækning CVE-2024-0200 er angivet (usikker brug af refleksioner, der fører til udførelse af kode eller brugerdefinerede metoder på siden). server). Et angreb på lokale installationer af GHES kunne være udført, hvis en angriber havde en konto med administrationsrettigheder for organisationen (organization owner).
Kilde: opennet.ru
