GitHub a lancé un projet collaboratif pour identifier les vulnérabilités dans les logiciels open source.

GitHub a pris la parole pour une initiative GitHub Security Lab, visant à organiser la collaboration entre des experts en sécurité provenant de différentes entreprises et organisations pour identifier les vulnérabilités et faciliter leur résolution dans le code des projets open source.

Toutes les entreprises et les spécialistes en cybersécurité intéressés sont invités à rejoindre cette initiative. Pour chaque vulnérabilité détectée, une récompense de jusqu'à 3000 dollars sera versée, en fonction de la gravité du problème et de la qualité du rapport soumis. Pour soumettre des informations sur les problèmes, il est proposé d'utiliser des outils CodeQL, permettant de créer un modèle de code vulnérable pour détecter la présence de vulnérabilités similaires dans le code d'autres projets (CodeQL permet d'effectuer une analyse sémantique du code et de formuler des requêtes pour rechercher des constructions spécifiques).

Des chercheurs en sécurité de F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber et
VMWare ont déjà rejoint l'initiative, ayant aidé à corriger ont identifié et 105 vulnérabilités au cours des deux dernières années dans des projets tels que Chromium, libssh2, le noyau Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode et Hadoop.

Le cycle de vie de la sécurité du code proposé par GitHub implique que les participants de GitHub Security Lab identifient les vulnérabilités, après quoi les informations sur les problèmes seront transmises aux mainteneurs et aux développeurs, qui travailleront sur des corrections, définiront un calendrier de divulgation des informations sur les problèmes et informeront les projets dépendants de la nécessité de mettre à jour vers une version corrigée. Des modèles CodeQL seront disponibles afin d'éviter la réapparition des problèmes corrigés dans le code présent sur GitHub.

Via l'interface GitHub, il est désormais possible de obtenir un identifiant CVE pour le problème détecté et de préparer un rapport, tandis que GitHub enverra automatiquement les notifications nécessaires et organisera leur correction coordonnée. De plus, après la correction du problème, GitHub enverra automatiquement des pull requests pour mettre à jour les dépendances liées au projet vulnérable.

GitHub a également introduit un répertoire de vulnérabilités. la GitHub Advisory Database, qui publie des informations sur les vulnérabilités impactant les projets sur GitHub, ainsi que des informations pour le suivi des paquets et des dépôts concernés. Les identifiants CVE mentionnés dans les commentaires sur GitHub font désormais référence automatiquement aux détails des vulnérabilités dans la base de données présentée. Un module distinct a été proposé pour automatiser les opérations avec la base de données API.

Une mise à jour est également signalée du service pour se protéger contre la fuite dans les dépôts accessibles au public
des données sensibles telles que des jetons d'authentification et des clés d'accès. Lors du commit, le scanner vérifie les formats types de clés et de jetons utilisés par 20 fournisseurs de cloud et services, y compris l'API Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack et Stripe. En cas de détection d'un jeton, une requête est envoyée au fournisseur de service pour confirmer la fuite et révoquer les jetons compromis. Depuis hier, en plus des formats précédemment pris en charge, la prise en charge de la détection des jetons GoCardless, HashiCorp, Postman et Tencent a été ajoutée.

Source : opennet.ru