A GitHub felfedte a sebezhetőségről szóló részleteket, amely lehetővé teszi a környezeti változók tartalmához való hozzáférést, amelyek konténerekben vannak kihelyezve a munkahelyi infrastruktúrában. A sebezhetőséget a Bug Bounty program egyik résztvevője fedezte fel, aki jutalomra pályázik a biztonsági problémák felfedezéséért. A probléma a GitHub.com szolgáltatást és a GitHub Enterprise Server (GHES) felhasználói rendszereken futó konfigurációkat is érinti.
A naplózás és az infrastruktúra auditja nem tárt fel sebezhetőség korábbi kihasználásának nyomait a kutató tevékenységén kívül. Mindazonáltal az infrastruktúrában kezdeményezték az összes titkosítási kulcs és az esetlegesen kompromittált jelszavak cseréjét. A belső kulcsok cseréje néhány szolgáltatás működését megzavarta december 27. és 29. között. A GitHub adminisztrátorai megpróbálták figyelembe venni a tegnap végrehajtott kulcsfrissítés során elkövetett hibákat, amelyek az ügyfeleket érintették.
Többek között frissítették a GPG-kulcsot, amelyet a GitHub webes szerkesztőjén keresztül végzett kötelező aláírások hitelesítésére használnak, amikor a pull kérdéseket fogadnak a weboldalon vagy a Codespace eszközön. A régi kulcs január 16-án 23 órakor megszűnt, és helyette tegnaptól új kulcs lépett érvénybe. Január 23-tól az összes új kötelező, amelyet a régi kulccsal írtak alá, nem lesz a GitHub weboldalon hitelesítve.
Január 16-án frissítették a GitHub Actions, GitHub Codespaces és Dependabot API-n keresztül küldött adatok titkosításához használt nyilvános kulcsokat. A GitHub által biztosított nyilvános kulcsokat használó felhasználóknak javasolt ellenőrizniük, hogy frissítették-e a GitHub GPG-kulcsait, és hogy rendszereik továbbra is működnek a kulcsok cseréje után.
A GitHub már megszüntette a sebezhetőséget a GitHub.com oldalon, és kiadta a GHES 3.8.13, 3.9.8, 3.10.5 és 3.11.3 termékfrissítést, amelyben a CVE-2024-0200 (kockázatos használat a reflexiókból, amely kódvégrehajtáshoz vagy felhasználó által vezérelt módszerekhez vezet) javítása szerepel. a szerver). A GHES lokális telepítések elleni támadást akkor lehetett végrehajtani, ha a támadónak volt egy szervezeti adminisztrátori fiókja (organization owner).
Forrás: opennet.ru
