GitHub mit der Initiative , das darauf abzielt, die Zusammenarbeit von Sicherheitsexperten aus verschiedenen Unternehmen und Organisationen zu organisieren, um Schwachstellen zu identifizieren und deren Behebung in den Codes öffentlicher Projekte zu unterstĂŒtzen.
Alle interessierten Unternehmen und Einzelpersonen aus der Computersicherheitsbranche sind eingeladen, sich an der Initiative zu beteiligen. FĂŒr die Identifizierung von Schwachstellen Belohnung von bis zu 3000 US-Dollar vorgesehen, abhĂ€ngig von der Schwere des Problems und der QualitĂ€t des Berichts. FĂŒr die Ăbermittlung von Fehlern wird vorgeschlagen, das Werkzeug , das es ermöglicht, eine Vorlage fĂŒr verwundbaren Code zu erstellen, um das Vorhandensein solcher Schwachstellen im Code anderer Projekte zu erkennen (CodeQL ermöglicht die semantische Analyse von Code und das Erstellen von Abfragen zur Suche nach bestimmten Konstruktionen).
Sicherheitsforscher von Unternehmen wie F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber und
VMWare haben sich bereits der Initiative angeschlossen und in den letzten zwei Jahren und 105 Schwachstellen in Projekten wie Chromium, libssh2, dem Linux-Kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode und Hadoop geholfen.
Der von GitHub vorgeschlagene Lebenszyklus zur Sicherstellung der Sicherheit von Code sieht vor, dass die Teilnehmer des GitHub Sicherheitslabors Schwachstellen identifizieren, woraufhin die Informationen ĂŒber Probleme an die Maintainer und Entwickler weitergegeben werden, die dann Lösungen erarbeiten, den Zeitpunkt der Offenlegung der Probleme koordinieren und abhĂ€ngige Projekte ĂŒber die Notwendigkeit informieren, eine Version mit behobenen Schwachstellen zu installieren. In der Datenbank werden CodeQL-Vorlagen veröffentlicht, um das Wiederauftreten behobener Probleme im auf GitHub vorhandenen Code zu verhindern.
Ăber die GitHub-OberflĂ€che können jetzt CVE-Identifikatoren fĂŒr identifizierte Probleme erstellt und Berichte vorbereitet werden, wĂ€hrend GitHub bereits selbst die notwendigen Benachrichtigungen versendet und deren koordinierte Behebung organisiert. DarĂŒber hinaus wird GitHub nach der Behebung des Problems automatisch Pull-Requests fĂŒr die Aktualisierung von AbhĂ€ngigkeiten, die mit dem verwundbaren Projekt verbunden sind, versenden.
GitHub hat auch ein Verzeichnis von Schwachstellen eingefĂŒhrt. , in dem Informationen ĂŒber Schwachstellen veröffentlicht werden, die Projekte auf GitHub betreffen, sowie Informationen zur Verfolgung betroffener Pakete und Repositories. Die in den Kommentaren auf GitHub genannten CVE-Identifikatoren verweisen jetzt automatisch auf detaillierte Informationen zu den Schwachstellen in der bereitgestellten Datenbank. Zur Automatisierung der Arbeit mit der Datenbank wurde ein separates .
Update wird ebenfalls gemeldet zum Schutz vor in öffentlich zugÀnglichen Repositories
vertraulichen Daten wie Authentifizierungstoken und ZugangsschlĂŒsseln. WĂ€hrend des Commits ĂŒberprĂŒft der Scanner die typischen Formate von SchlĂŒsseln und Token, die verwendet werden, , darunter API Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack und Stripe. Bei der Entdeckung eines Tokens wird eine Anfrage an den Dienstanbieter gesendet, um den Leak zu bestĂ€tigen und kompromittierte Tokens zurĂŒckzuziehen. Seit gestern wurde neben den bereits unterstĂŒtzten Formaten auch die UnterstĂŒtzung zur Erkennung von Tokens von GoCardless, HashiCorp, Postman und Tencent hinzugefĂŒgt.
Quelle: opennet.ru
