GitHub har annonceret, at alle autentificerede sessioner til GitHub.com er blevet nulstillet, og at der er behov for at logge ind igen på grund af et identificeret sikkerhedsproblem. Det bemærkes, at problemet optræder meget sjældent og kun påvirker et lille antal sessioner, men udgør en potentiel stor risiko, da det giver én autentificeret bruger adgang til en anden brugers session.
Sårbarheden skyldes en konkurrencetilstand ved behandling af forespørgsler fra backend og fører til, at brugerens session bliver omdirigeret til en anden brugers browser, hvilket giver fuld adgang til en andens session-cookie. Det anslås, at den forkerte omdirigering har påvirket omkring 0,001% af alle autentificerede sessioner på GitHub.com. Det påstås, at en sådan omdirigering opstod ved en tilfældig sammenløb af omstændigheder, som ikke bevidst kan fremkaldes af en angriber. De problematiske ændringer blev foretaget den 8. februar og rettet den 5. marts. Yderligere kontroller blev tilføjet den 8. marts for at give en mere generel beskyttelse mod denne type fejl.
Kilde: opennet.ru
