ការវាយប្រហារលើ GitHub ដែលនាំទៅដល់ការលេចធ្លាយនៃឃ្លាំងឯកជន និងការចូលទៅកាន់ហេដ្ឋារចនាសម្ព័ន្ធ NPM

GitHub បានព្រមានអ្នកប្រើប្រាស់អំពីការវាយប្រហារដែលមានគោលបំណងទាញយកទិន្នន័យពីឃ្លាំងឯកជនដោយប្រើនិមិត្តសញ្ញា OAuth ដែលត្រូវបានសម្របសម្រួលដែលបង្កើតឡើងសម្រាប់សេវា Heroku និង Travis-CI ។ វាត្រូវបានគេរាយការណ៍ថាក្នុងអំឡុងពេលនៃការវាយប្រហារទិន្នន័យត្រូវបានលេចធ្លាយចេញពីឃ្លាំងឯកជននៃអង្គការមួយចំនួនដែលបានបើកការចូលដំណើរការទៅកាន់ឃ្លាំងសម្រាប់វេទិកា Heroku PaaS និងប្រព័ន្ធរួមបញ្ចូលជាបន្តបន្ទាប់ Travis-CI ។ ក្នុងចំណោមជនរងគ្រោះមាន GitHub និងគម្រោង NPM ។

អ្នកវាយប្រហារអាចទាញយកពីឃ្លាំង GitHub ឯកជន ដែលជាគន្លឹះដើម្បីចូលប្រើ Amazon Web Services API ដែលប្រើក្នុងហេដ្ឋារចនាសម្ព័ន្ធគម្រោង NPM ។ គន្លឹះលទ្ធផលបានអនុញ្ញាតឱ្យចូលប្រើកញ្ចប់ NPM ដែលរក្សាទុកក្នុងសេវាកម្ម AWS S3 ។ GitHub ជឿជាក់ថា ទោះបីជាមានការចូលទៅកាន់ឃ្លាំង NPM ក៏ដោយ វាមិនបានកែប្រែកញ្ចប់ ឬទទួលបានទិន្នន័យដែលពាក់ព័ន្ធជាមួយគណនីអ្នកប្រើប្រាស់នោះទេ។ វាត្រូវបានកត់សម្គាល់ផងដែរថា ដោយសារហេដ្ឋារចនាសម្ព័ន្ធ GitHub.com និង NPM ដាច់ដោយឡែក អ្នកវាយប្រហារមិនមានពេលវេលាដើម្បីទាញយកមាតិកានៃឃ្លាំង GitHub ខាងក្នុងដែលមិនមានទំនាក់ទំនងជាមួយ NPM មុនពេលនិមិត្តសញ្ញាដែលមានបញ្ហាត្រូវបានរារាំង។

ការវាយប្រហារត្រូវបានរកឃើញនៅថ្ងៃទី 12 ខែមេសា បន្ទាប់ពីអ្នកវាយប្រហារបានព្យាយាមប្រើគន្លឹះទៅកាន់ AWS API។ ក្រោយមក ការវាយប្រហារស្រដៀងគ្នានេះត្រូវបានគេកត់ត្រានៅលើអង្គការមួយចំនួនផ្សេងទៀត ដែលប្រើប្រាស់កម្មវិធី Heroku និង Travis-CI ផងដែរ។ អង្គការដែលរងផលប៉ះពាល់មិនត្រូវបានបញ្ចេញឈ្មោះទេ ប៉ុន្តែការជូនដំណឹងបុគ្គលត្រូវបានផ្ញើទៅកាន់អ្នកប្រើប្រាស់ទាំងអស់ដែលរងផលប៉ះពាល់ដោយការវាយប្រហារ។ អ្នកប្រើប្រាស់កម្មវិធី Heroku និង Travis-CI ត្រូវបានលើកទឹកចិត្តឱ្យពិនិត្យមើលសុវត្ថិភាព និងកំណត់ហេតុសវនកម្មដើម្បីកំណត់អត្តសញ្ញាណភាពមិនប្រក្រតី និងសកម្មភាពមិនធម្មតា។

វាមិនទាន់ច្បាស់នៅឡើយទេថាតើថូខឹនធ្លាក់ចូលទៅក្នុងដៃអ្នកវាយប្រហារដោយរបៀបណា ប៉ុន្តែ GitHub ជឿជាក់ថាពួកគេមិនត្រូវបានទទួលជាលទ្ធផលនៃការសម្របសម្រួលនៃហេដ្ឋារចនាសម្ព័ន្ធរបស់ក្រុមហ៊ុននោះទេ ដោយសារនិមិត្តសញ្ញាសម្រាប់ការអនុញ្ញាតឱ្យចូលប្រើពីប្រព័ន្ធខាងក្រៅមិនត្រូវបានរក្សាទុកនៅលើផ្នែក GitHub ក្នុងទម្រង់ដើមដែលសមរម្យសម្រាប់ការប្រើប្រាស់។ ការវិភាគអំពីអាកប្បកិរិយារបស់អ្នកវាយប្រហារបានបង្ហាញថា គោលបំណងចម្បងនៃការទាញយកមាតិកានៃឃ្លាំងឯកជនទំនងជាការវិភាគវត្តមាននៃទិន្នន័យសម្ងាត់នៅក្នុងពួកវា ដូចជាសោចូលប្រើ ដែលអាចត្រូវបានប្រើដើម្បីបន្តការវាយប្រហារលើធាតុផ្សេងទៀតនៃហេដ្ឋារចនាសម្ព័ន្ធ។ .

ប្រភព: opennet.ru