GitHub con l'iniziativa , volta a organizzare una collaborazione tra esperti di sicurezza di diverse aziende e organizzazioni per identificare le vulnerabilità e assistere nella loro risoluzione nel codice dei progetti open source.
Sono invitate a partecipare all'iniziativa tutte le aziende e i professionisti della sicurezza informatica interessati. Per l'identificazione delle vulnerabilità un rimborso fino a 3000 dollari, a seconda della gravità del problema e della qualità del rapporto. Per inviare informazioni sui problemi si consiglia di utilizzare lo strumento , che consente di creare un modello di codice vulnerabile per rilevare la presenza di vulnerabilità simili nel codice di altri progetti (CodeQL offre la possibilità di effettuare un'analisi semantica del codice e formulare query per la ricerca di specifiche strutture).
All'iniziativa hanno già partecipato ricercatori di sicurezza delle aziende F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber e
VMWare, che negli ultimi due anni e 105 vulnerabilità in progetti come Chromium, libssh2, il kernel Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode e Hadoop.
Il ciclo di vita della sicurezza del codice proposto su GitHub prevede che i partecipanti al GitHub Security Lab identifichino le vulnerabilità, dopo di che le informazioni sui problemi saranno comunicate ai manutentori e agli sviluppatori, che elaboreranno correzioni, coordineranno i tempi di divulgazione delle informazioni sul problema e informeranno i progetti dipendenti dell'obbligo di installare versioni che risolvono le vulnerabilità. Nella base saranno disponibili modelli CodeQL per prevenire la ricomparsa di problemi risolti nel codice attualmente presente su GitHub.
Attraverso l'interfaccia GitHub ora è possibile assegnare un identificatore CVE al problema identificato e preparare un rapporto, e GitHub invierà già le necessarie notifiche e organizzerà la loro correzione coordinata. Inoltre, dopo la risoluzione del problema, GitHub invierà automaticamente richieste di pull per l'aggiornamento delle dipendenze relative al progetto vulnerabile.
GitHub ha anche inserito un catalogo delle vulnerabilità , in cui vengono pubblicate informazioni sulle vulnerabilità che interessano i progetti su GitHub, e informazioni per monitorare i pacchetti e i repository a rischio. Gli identificatori CVE menzionati nei commenti su GitHub ora rimandano automaticamente a dettagli sulla vulnerabilità nel database fornito. Per automatizzare il lavoro con il database, è stata proposta una separata .
Si segnala anche un aggiornamento per proteggere da di dati sensibili in repository pubblicamente accessibili
, come i token di autenticazione e le chiavi di accesso. Durante il commit, il scanner controlla i formati standard delle chiavi e dei token utilizzati , inclusi API di Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack e Stripe. In caso di rilevamento di un token, viene inviata una richiesta al fornitore del servizio per confermare la fuga e revocare i token compromessi. Da ieri, oltre ai formati già supportati, è stata aggiunta la supporto per la rilevazione dei token di GoCardless, HashiCorp, Postman e Tencent.
Fonte: opennet.ru
