GitHub એ ઓપન સોર્સ સોફ્ટવેરમાં નબળાઈઓને ઓળખવા માટે એક સંયુક્ત પ્રોજેક્ટ શરૂ કર્યો

GitHub બોલ્યો પહેલ સાથે GitHub સુરક્ષા લેબ, ઓપન સોર્સ પ્રોજેક્ટના કોડમાં નબળાઈઓને ઓળખવા અને તેને દૂર કરવામાં સહાય કરવા માટે વિવિધ કંપનીઓ અને સંસ્થાઓના સુરક્ષા નિષ્ણાતોના સહયોગનું આયોજન કરવાનો હેતુ છે.

તમામ રસ ધરાવતી કંપનીઓ અને વ્યક્તિગત કમ્પ્યુટર સુરક્ષા નિષ્ણાતોને પહેલમાં જોડાવા માટે આમંત્રિત કરવામાં આવે છે. નબળાઈ ઓળખવા માટે પૂરી પાડવામાં આવેલ છે સમસ્યાની ગંભીરતા અને રિપોર્ટની ગુણવત્તાના આધારે $3000 સુધીના પુરસ્કારની ચુકવણી. અમે સમસ્યાની માહિતી સબમિટ કરવા માટે ટૂલકીટનો ઉપયોગ કરવાનું સૂચન કરીએ છીએ. કોડક્યુએલ, જે તમને અન્ય પ્રોજેક્ટ્સના કોડમાં સમાન નબળાઈની હાજરીને ઓળખવા માટે સંવેદનશીલ કોડનો ટેમ્પલેટ જનરેટ કરવાની મંજૂરી આપે છે (કોડક્યુએલ કોડનું સિમેન્ટીક વિશ્લેષણ કરવાનું શક્ય બનાવે છે અને ચોક્કસ માળખાં શોધવા માટે ક્વેરી જનરેટ કરે છે).

F5, Google, HackerOne, Intel, IOActive, JP Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber અને ના સુરક્ષા સંશોધકો
VMWare, જે છેલ્લા બે વર્ષમાં જાહેર કર્યું и મને તેને ઠીક કરવામાં મદદ કરી Chromium, libssh105, Linux kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, ઘોસ્ટસ્ક્રીપ્ટ, Icecast, Apache Struts, IwanSpache, મજબૂત, ઘોસ્ટસ્ક્રીપ્ટ જેવા પ્રોજેક્ટ્સમાં 2 નબળાઈઓ , Apache Geode અને Hadoop.

GitHub ના સૂચિત કોડ સુરક્ષા જીવનચક્રમાં નબળાઈઓને ઓળખતા GitHub સિક્યુરિટી લેબના સભ્યોનો સમાવેશ થાય છે, જે પછી જાળવણીકારો અને વિકાસકર્તાઓને સંચાર કરવામાં આવશે, જેઓ ફિક્સેસ વિકસાવશે, સમસ્યાને ક્યારે જાહેર કરવી તે સંકલન કરશે અને વર્ઝન ઇન્સ્ટોલ કરવા માટે નિર્ભર પ્રોજેક્ટ્સને જાણ કરશે. નબળાઈઓને દૂર કરવા સાથે. GitHub પર હાજર કોડમાં ઉકેલાયેલી સમસ્યાઓના પુનઃપ્રદર્શનને રોકવા માટે ડેટાબેઝમાં CodeQL નમૂનાઓ હશે.

GitHub ઇન્ટરફેસ દ્વારા તમે હવે કરી શકો છો મેળવવા માટે ઓળખાયેલ સમસ્યા માટે CVE ઓળખકર્તા અને રિપોર્ટ તૈયાર કરશે, અને GitHub પોતે જ જરૂરી સૂચનાઓ મોકલશે અને તેમના સંકલિત કરેક્શનનું આયોજન કરશે. તદુપરાંત, એકવાર સમસ્યા ઉકેલાઈ જાય, GitHub અસરગ્રસ્ત પ્રોજેક્ટ સાથે સંકળાયેલ નિર્ભરતાને અપડેટ કરવા માટે આપમેળે પુલ વિનંતીઓ સબમિટ કરશે.

GitHub એ નબળાઈઓની યાદી પણ ઉમેરી છે GitHub સલાહકાર ડેટાબેઝ, જે GitHub પર પ્રોજેક્ટ્સને અસર કરતી નબળાઈઓ વિશેની માહિતી અને અસરગ્રસ્ત પેકેજો અને રિપોઝીટરીઝને ટ્રૅક કરવા માટેની માહિતી પ્રકાશિત કરે છે. GitHub પરની ટિપ્પણીઓમાં ઉલ્લેખિત CVE ઓળખકર્તાઓ હવે સબમિટ કરેલા ડેટાબેઝમાં નબળાઈ વિશેની વિગતવાર માહિતી સાથે આપમેળે લિંક થાય છે. ડેટાબેઝ સાથે કામ સ્વચાલિત કરવા માટે, એક અલગ API.

અપડેટની પણ જાણ કરવામાં આવી છે સેવા સામે રક્ષણ આપવા માટે હિટ સાર્વજનિક રીતે સુલભ રીપોઝીટરીઝમાં
સંવેદનશીલ ડેટા જેમ કે પ્રમાણીકરણ ટોકન્સ અને એક્સેસ કી. કમિટ દરમિયાન, સ્કેનર ઉપયોગમાં લેવાતી લાક્ષણિક કી અને ટોકન ફોર્મેટ તપાસે છે 20 ક્લાઉડ પ્રદાતાઓ અને સેવાઓ, જેમાં Alibaba Cloud API, Amazon Web Services (AWS), Azure, Google Cloud, Slack અને Stripeનો સમાવેશ થાય છે. જો કોઈ ટોકન ઓળખવામાં આવે છે, તો સેવા પ્રદાતાને લીકની પુષ્ટિ કરવા અને ચેડા થયેલા ટોકન્સને રદ કરવા વિનંતી મોકલવામાં આવે છે. ગઈકાલ સુધીમાં, અગાઉ સપોર્ટેડ ફોર્મેટ ઉપરાંત, GoCardless, HashiCorp, પોસ્ટમેન અને Tencent ટોકન્સને વ્યાખ્યાયિત કરવા માટેનો આધાર ઉમેરવામાં આવ્યો છે.

સોર્સ: opennet.ru