GitHub a kezdeményezéssel , amelynek célja a különböző cégek és szervezetek biztonsági szakértőinek közös munkájának megszervezése a sebezhetőségek azonosítása és a nyílt projektek kódjában való orvoslás elősegítése érdekében.
A kezdeményezéshez minden érdekelt vállalat és számítógépes biztonsági szakember csatlakozását várják. A sebezhetőség azonosításáért , amely legfeljebb 3000 dollár lehet, a probléma súlyosságától és a jelentés minőségétől függően. A problémák jelentésére ajánlott eszköztár használata, amely lehetővé teszi egy sérülékeny kód sablonának létrehozását, hogy azonosítani lehessen hasonló sebezhetőségeket más projektek kódjában (a CodeQL lehetőséget ad a kód szemantikai elemzésére és lekérdezések készítésére specifikus struktúrák keresésére).
A kezdeményezéshez már csatlakoztak biztonsági kutatók az F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber és
VMware cégektől, akik az elmúlt két évben és 105 sebezhetőséget olyan projekteken, mint a Chromium, libssh2, a Linux kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode és Hadoop.
A GitHub által javasolt kód biztonsági fenntartási életciklusa azt jelenti, hogy a GitHub Security Lab résztvevői felfedezik a sebezhetőségeket, majd az információkat eljuttatják a karbantartókhoz és fejlesztőkhöz, akik kidolgozzák a javításokat, egyesítik az értesítések közzétételi idejét, és informálják a kapcsolódó projekteket a sebezhetőség orvoslásához szükséges verziók telepítéséről. Az alapban CodeQL sablonok lesznek elhelyezve, amelyek megakadályozzák a már orvosolt problémák újbóli megjelenését a GitHub-on lévő kódban.
A GitHub felületén most már CVE-azonosító a felfedezett problémához, és a jelentés elkészíthető, míg a GitHub már maga küldi el a szükséges értesítéseket és szervezi a koordinált javítást. Továbbá, a probléma kijavítása után a GitHub automatikusan pull-reqeust küld a sebezhető projekttel kapcsolatos függőségek frissítésére.
A GitHub szintén bevezetett egy sérülékenység katalógust. , amelyben a GitHub projektekre vonatkozó sebezhetőségek adatai valamint a problémás csomagok és tárolók nyomon követéséhez szükséges információk találhatók. A GitHub kommentjeiben említett CVE-azonosítók mostantól automatikusan hivatkoznak a sebezhetőségről szóló részletes információkra a bemutatott adatbázisban. Az adatbázissal való munka automatizálására külön .
Szintén frissítésről számoltak be védések érdekében érzékeny adatok, például hitelesítési tokenek és hozzáférési kulcsok beköltözése ellen. A kölcsönzés során a szkenner ellenőrzi a használt tokenek és kulcsok mintázatait,
20 felhőszolgáltatás és szolgáltatás IT szektor bérezése és a legnagyobb 10 IT cég nyitott állásai az örmény piacon
Forrás: opennet.ru
