GitHub l'iniziativa , mirata all'organizzazione della collaborazione tra esperti di sicurezza di diverse aziende e organizzazioni per identificare vulnerabilità e supportare la loro risoluzione nel codice di progetti open source.
Tutte le aziende interessate e i singoli esperti di sicurezza informatica sono invitati a partecipare all'iniziativa. Per l'identificazione delle vulnerabilità un premio di fino a 3000 dollari, a seconda della gravità del problema e della qualità della relazione. Per inviare informazioni sui problemi, si consiglia di utilizzare un tool , che consente di creare un modello di codice vulnerabile per identificare la presenza di simili vulnerabilità nel codice di altri progetti (CodeQL offre la possibilità di effettuare analisi semantiche del codice e generare query per la ricerca di specifiche strutture).
All'iniziativa hanno già aderito ricercatori di sicurezza di aziende come F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber e
VMware, che negli ultimi due anni e 105 vulnerabilità in progetti come Chromium, libssh2, il nucleo Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode e Hadoop.
Il ciclo di vita della sicurezza del codice proposto su GitHub prevede che i membri del GitHub Security Lab identificano vulnerabilità; successivamente, le informazioni sui problemi verranno comunicate ai manutentori e agli sviluppatori, che elaboreranno le correzioni, concordando il momento della divulgazione delle informazioni sul problema e informeranno i progetti dipendenti sulla necessità di installare la versione con la vulnerabilità corretta. Un database ospiterà modelli CodeQL che consentiranno di prevenire il riemergere di problemi risolti nel codice presente su GitHub.
Ora, tramite l'interfaccia di GitHub, è possibile ottenere un identificatore CVE per il problema identificato e preparare un rapporto, e GitHub si occuperà di inviare le necessarie notifiche e organizzerà la loro correzione coordinata. Inoltre, dopo la risoluzione del problema, GitHub invierà automaticamente richieste di pull per l'aggiornamento delle dipendenze collegate al progetto vulnerabile.
GitHub ha anche introdotto un catalogo delle vulnerabilità , in cui vengono pubblicate informazioni sulle vulnerabilità che interessano i progetti su GitHub, e dettagli per il monitoraggio dei pacchetti e dei repository vulnerabili. I riferimenti CVE menzionati nei commenti di GitHub rimandano automaticamente a informazioni dettagliate sulla vulnerabilità nel database fornito. Per automatizzare il lavoro con il database, è stata proposta una soluzione separata .
Si segnala anche un aggiornamento per proteggere da in repository pubblicamente accessibili
dati riservati come token di autenticazione e chiavi di accesso. Durante il commit, lo scanner verifica i formati standard dei token e delle chiavi utilizzati , inclusi API di Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack e Stripe. In caso di individuazione di un token, viene inviata una richiesta al fornitore di servizi per confermare la fuga e revocare i token compromessi. Da ieri, oltre ai formati supportati in precedenza, è stata aggiunta la compatibilità per l'individuazione di token GoCardless, HashiCorp, Postman e Tencent.
Fonte: opennet.ru
