GitHub បានធ្វើបច្ចុប្បន្នភាពសោ GPG ដោយសារតែភាពងាយរងគ្រោះនៃការលេចធ្លាយអថេរបរិស្ថាន

GitHub បានបង្ហាញភាពងាយរងគ្រោះដែលអនុញ្ញាតឱ្យចូលទៅកាន់មាតិកានៃអថេរបរិស្ថានដែលលាតត្រដាងនៅក្នុងធុងដែលប្រើក្នុងហេដ្ឋារចនាសម្ព័ន្ធផលិតកម្ម។ ភាពងាយរងគ្រោះត្រូវបានរកឃើញដោយអ្នកចូលរួម Bug Bounty ដែលស្វែងរករង្វាន់សម្រាប់ការស្វែងរកបញ្ហាសុវត្ថិភាព។ បញ្ហានេះប៉ះពាល់ដល់ទាំងសេវាកម្ម GitHub.com និងការកំណត់រចនាសម្ព័ន្ធ GitHub Enterprise Server (GHES) ដែលដំណើរការលើប្រព័ន្ធអ្នកប្រើប្រាស់។

ការវិភាគលើកំណត់ហេតុ និងសវនកម្មនៃហេដ្ឋារចនាសម្ព័ន្ធមិនបង្ហាញពីដាននៃការកេងប្រវ័ញ្ចលើភាពងាយរងគ្រោះនាពេលកន្លងមកទេ លើកលែងតែសកម្មភាពរបស់អ្នកស្រាវជ្រាវដែលបានរាយការណ៍អំពីបញ្ហានេះ។ ទោះជាយ៉ាងណាក៏ដោយ ហេដ្ឋារចនាសម្ព័ន្ធត្រូវបានផ្តួចផ្តើមឡើងដើម្បីជំនួសសោការអ៊ិនគ្រីប និងព័ត៌មានសម្ងាត់ទាំងអស់ ដែលអាចមានសក្តានុពលត្រូវបានសម្របសម្រួល ប្រសិនបើភាពងាយរងគ្រោះត្រូវបានកេងប្រវ័ញ្ចដោយអ្នកវាយប្រហារ។ ការជំនួសសោខាងក្នុងនាំឱ្យមានការរំខានដល់សេវាកម្មមួយចំនួនចាប់ពីថ្ងៃទី 27 ដល់ថ្ងៃទី 29 ខែធ្នូ។ អ្នកគ្រប់គ្រង GitHub បានព្យាយាមគិតគូរពីកំហុសដែលបានធ្វើឡើងអំឡុងពេលធ្វើបច្ចុប្បន្នភាពនៃសោដែលប៉ះពាល់ដល់អតិថិជនដែលបានធ្វើឡើងកាលពីម្សិលមិញ។

ក្នុងចំណោមរបស់ផ្សេងទៀត គន្លឹះ GPG ដែលប្រើដើម្បីចុះហត្ថលេខាលើការប្តេជ្ញាចិត្តជាឌីជីថលដែលបានបង្កើតតាមរយៈកម្មវិធីនិពន្ធគេហទំព័រ GitHub នៅពេលទទួលយកសំណើទាញនៅលើគេហទំព័រ ឬតាមរយៈប្រអប់ឧបករណ៍ Codespace ត្រូវបានធ្វើបច្ចុប្បន្នភាព។ សោចាស់ឈប់មានសុពលភាពនៅថ្ងៃទី 16 ខែមករា ម៉ោង 23:23 ម៉ោងនៅទីក្រុងម៉ូស្គូ ហើយសោថ្មីមួយត្រូវបានប្រើប្រាស់ជំនួសវិញតាំងពីម្សិលមិញ។ ចាប់ពីថ្ងៃទី XNUMX ខែមករា ការសន្យាថ្មីទាំងអស់ដែលបានចុះហត្ថលេខាជាមួយសោពីមុននឹងមិនត្រូវបានសម្គាល់ថាបានផ្ទៀងផ្ទាត់នៅលើ GitHub ទេ។

ថ្ងៃទី 16 ខែមករាក៏បានធ្វើបច្ចុប្បន្នភាពសោសាធារណៈដែលប្រើដើម្បីអ៊ិនគ្រីបទិន្នន័យអ្នកប្រើប្រាស់ដែលបានផ្ញើតាមរយៈ API ទៅ GitHub Actions, GitHub Codespaces និង Dependabot ។ អ្នកប្រើប្រាស់ដែលប្រើសោសាធារណៈដែលគ្រប់គ្រងដោយ GitHub ដើម្បីពិនិត្យមើលការប្រព្រឹត្តិក្នុងមូលដ្ឋាន និងអ៊ិនគ្រីបទិន្នន័យក្នុងការដឹកជញ្ជូនត្រូវបានណែនាំដើម្បីធានាថាពួកគេបានធ្វើបច្ចុប្បន្នភាពសោ GitHub GPG របស់ពួកគេដើម្បីឱ្យប្រព័ន្ធរបស់ពួកគេបន្តដំណើរការបន្ទាប់ពីសោត្រូវបានផ្លាស់ប្តូរ។

GitHub បានជួសជុលភាពងាយរងគ្រោះរួចហើយនៅលើ GitHub.com និងបានចេញផ្សាយការអាប់ដេតផលិតផលសម្រាប់ GHES 3.8.13, 3.9.8, 3.10.5 និង 3.11.3 ដែលរួមបញ្ចូលទាំងការជួសជុលសម្រាប់ CVE-2024-0200 (ការប្រើប្រាស់មិនមានសុវត្ថិភាពនៃការឆ្លុះបញ្ចាំងដែលនាំទៅដល់ ការប្រតិបត្តិកូដ ឬវិធីសាស្ត្រគ្រប់គ្រងដោយអ្នកប្រើប្រាស់នៅលើផ្នែកម៉ាស៊ីនមេ)។ ការវាយប្រហារលើការដំឡើង GHES ក្នុងតំបន់អាចត្រូវបានអនុវត្ត ប្រសិនបើអ្នកវាយប្រហារមានគណនីដែលមានសិទ្ធិម្ចាស់ស្ថាប័ន។

ប្រភព: opennet.ru