GitHub ने पर्यावरण परिवर्तनीय रिसाव भेद्यता के कारण GPG कुंजियाँ अद्यतन की हैं

GitHub ने एक भेद्यता का खुलासा किया है जो उत्पादन बुनियादी ढांचे में उपयोग किए जाने वाले कंटेनरों में उजागर पर्यावरण चर की सामग्री तक पहुंच की अनुमति देता है। इस भेद्यता की खोज एक बग बाउंटी प्रतिभागी द्वारा की गई थी जो सुरक्षा समस्याओं का पता लगाने के लिए इनाम की मांग कर रहा था। समस्या उपयोगकर्ता सिस्टम पर चल रहे GitHub.com सेवा और GitHub एंटरप्राइज़ सर्वर (GHES) कॉन्फ़िगरेशन दोनों को प्रभावित करती है।

लॉग के विश्लेषण और बुनियादी ढांचे के ऑडिट से समस्या की रिपोर्ट करने वाले शोधकर्ता की गतिविधि को छोड़कर अतीत में भेद्यता के शोषण का कोई निशान सामने नहीं आया। हालाँकि, सभी एन्क्रिप्शन कुंजियों और क्रेडेंशियल्स को बदलने के लिए बुनियादी ढांचे की शुरुआत की गई थी, जो किसी हमलावर द्वारा भेद्यता का फायदा उठाने पर संभावित रूप से समझौता किया जा सकता था। आंतरिक कुंजियों के प्रतिस्थापन के कारण 27 से 29 दिसंबर तक कुछ सेवाएँ बाधित हुईं। GitHub प्रशासकों ने कल ग्राहकों को प्रभावित करने वाली कुंजियों के अद्यतन के दौरान की गई गलतियों को ध्यान में रखने का प्रयास किया।

अन्य बातों के अलावा, साइट पर या कोडस्पेस टूलकिट के माध्यम से पुल अनुरोध स्वीकार करते समय GitHub वेब संपादक के माध्यम से बनाए गए कमिट पर डिजिटल रूप से हस्ताक्षर करने के लिए उपयोग की जाने वाली GPG कुंजी को अपडेट कर दिया गया है। पुरानी कुंजी 16 जनवरी को 23:23 मॉस्को समय पर वैध नहीं रही, और कल से इसके स्थान पर एक नई कुंजी का उपयोग किया जा रहा है। XNUMX जनवरी से, पिछली कुंजी के साथ हस्ताक्षरित सभी नई प्रतिबद्धताओं को GitHub पर सत्यापित के रूप में चिह्नित नहीं किया जाएगा।

16 जनवरी को एपीआई के माध्यम से गिटहब एक्शन, गिटहब कोडस्पेस और डिपेंडाबॉट में भेजे गए उपयोगकर्ता डेटा को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली सार्वजनिक कुंजियों को भी अपडेट किया गया। जो उपयोगकर्ता GitHub के स्वामित्व वाली सार्वजनिक कुंजियों का उपयोग स्थानीय रूप से प्रतिबद्धताओं की जाँच करने और पारगमन में डेटा को एन्क्रिप्ट करने के लिए करते हैं, उन्हें यह सुनिश्चित करने की सलाह दी जाती है कि उन्होंने अपनी GitHub GPG कुंजियाँ अपडेट कर ली हैं ताकि कुंजियाँ बदलने के बाद भी उनका सिस्टम काम करता रहे।

GitHub ने पहले ही GitHub.com पर भेद्यता को ठीक कर दिया है और GHES 3.8.13, 3.9.8, 3.10.5 और 3.11.3 के लिए एक उत्पाद अपडेट जारी किया है, जिसमें CVE-2024-0200 (प्रतिबिंबों का असुरक्षित उपयोग) के लिए एक फिक्स शामिल है कोड निष्पादन या सर्वर साइड पर उपयोगकर्ता-नियंत्रित तरीके)। यदि हमलावर के पास संगठन के मालिक अधिकारों वाला खाता हो तो स्थानीय GHES प्रतिष्ठानों पर हमला किया जा सकता है।

स्रोत: opennet.ru