GitHub એ પર્યાવરણ વેરીએબલ લીક નબળાઈને કારણે GPG કીઝ અપડેટ કરી છે

GitHub એ નબળાઈ જાહેર કરી છે જે ઉત્પાદન ઈન્ફ્રાસ્ટ્રક્ચરમાં ઉપયોગમાં લેવાતા કન્ટેનરમાં ખુલ્લા પર્યાવરણ ચલોની સામગ્રીને ઍક્સેસ કરવાની મંજૂરી આપે છે. સુરક્ષા સમસ્યાઓ શોધવા માટે પુરસ્કારની માંગ કરતા બગ બાઉન્ટી સહભાગી દ્વારા નબળાઈ શોધવામાં આવી હતી. આ સમસ્યા GitHub.com સેવા અને GitHub એન્ટરપ્રાઇઝ સર્વર (GHES) બંને કન્ફિગરેશનને અસર કરે છે જે વપરાશકર્તા સિસ્ટમ્સ પર ચાલી રહી છે.

લોગના વિશ્લેષણ અને ઈન્ફ્રાસ્ટ્રક્ચરના ઓડિટમાં સમસ્યાની જાણ કરનાર સંશોધકની પ્રવૃત્તિ સિવાય ભૂતકાળમાં નબળાઈના શોષણના કોઈ નિશાન જાહેર થયા નથી. જો કે, તમામ એન્ક્રિપ્શન કીઓ અને ઓળખપત્રોને બદલવા માટે ઈન્ફ્રાસ્ટ્રક્ચર શરૂ કરવામાં આવ્યું હતું કે જો કોઈ હુમલાખોર દ્વારા નબળાઈનો ઉપયોગ કરવામાં આવ્યો હોય તો સંભવિત રૂપે સમાધાન થઈ શકે છે. આંતરિક ચાવી બદલવાના કારણે 27 થી 29 ડિસેમ્બર દરમિયાન કેટલીક સેવાઓમાં વિક્ષેપ પડ્યો. GitHub એડમિનિસ્ટ્રેટર્સે ગઈકાલે કરેલા ક્લાયન્ટ્સને અસર કરતી કીના અપડેટ દરમિયાન થયેલી ભૂલોને ધ્યાનમાં લેવાનો પ્રયાસ કર્યો.

અન્ય વસ્તુઓની સાથે, સાઈટ પર પુલ વિનંતીઓ સ્વીકારતી વખતે અથવા કોડસ્પેસ ટૂલકીટ દ્વારા GitHub વેબ એડિટર દ્વારા બનાવેલ કમિટ્સને ડિજિટલી સાઈન કરવા માટે ઉપયોગમાં લેવાતી GPG કી અપડેટ કરવામાં આવી છે. જૂની કી 16 જાન્યુઆરીના રોજ મોસ્કોના સમય મુજબ 23:23 વાગ્યે માન્ય થવાનું બંધ થઈ ગયું અને ગઈકાલથી તેના બદલે નવી કીનો ઉપયોગ કરવામાં આવ્યો. XNUMX જાન્યુઆરીથી, અગાઉની કી સાથે સહી કરેલ તમામ નવા કમિટ્સને GitHub પર ચકાસાયેલ તરીકે ચિહ્નિત કરવામાં આવશે નહીં.

16 જાન્યુઆરીએ API દ્વારા GitHub Actions, GitHub Codespaces અને Dependabot ને મોકલવામાં આવેલ વપરાશકર્તા ડેટાને એન્ક્રિપ્ટ કરવા માટે ઉપયોગમાં લેવાતી સાર્વજનિક કીને પણ અપડેટ કરી. વપરાશકર્તાઓ કે જેઓ GitHub ની માલિકીની સાર્વજનિક કીનો ઉપયોગ સ્થાનિક રીતે કમિટ્સને તપાસવા માટે કરે છે અને ટ્રાન્ઝિટમાં ડેટાને એન્ક્રિપ્ટ કરે છે તે સુનિશ્ચિત કરવાની સલાહ આપવામાં આવે છે કે તેઓએ તેમની GitHub GPG કીઝ અપડેટ કરી છે જેથી કી બદલાયા પછી તેમની સિસ્ટમ્સ કાર્ય કરવાનું ચાલુ રાખે.

GitHub એ પહેલાથી જ GitHub.com પર નબળાઈને ઠીક કરી છે અને GHES 3.8.13, 3.9.8, 3.10.5 અને 3.11.3 માટે ઉત્પાદન અપડેટ બહાર પાડ્યું છે, જેમાં CVE-2024-0200 (પ્રતિબિંબનો અસુરક્ષિત ઉપયોગ) માટે ફિક્સનો સમાવેશ થાય છે. કોડ એક્ઝેક્યુશન અથવા સર્વર બાજુ પર વપરાશકર્તા-નિયંત્રિત પદ્ધતિઓ). સ્થાનિક GHES સ્થાપનો પર હુમલો કરવામાં આવી શકે છે જો હુમલાખોર પાસે સંસ્થાના માલિકના અધિકારો સાથે ખાતું હોય.

સોર્સ: opennet.ru