GitHub ໄດ້ອັບເດດກະແຈ GPG ເນື່ອງຈາກມີຊ່ອງໂຫວ່ການຮົ່ວໄຫຼຂອງສະພາບແວດລ້ອມ

GitHub ໄດ້ເປີດເຜີຍຊ່ອງໂຫວ່ທີ່ອະນຸຍາດໃຫ້ເຂົ້າເຖິງເນື້ອໃນຂອງຕົວແປສະພາບແວດລ້ອມທີ່ເປີດເຜີຍຢູ່ໃນຖັງທີ່ໃຊ້ໃນໂຄງສ້າງພື້ນຖານການຜະລິດ. ຊ່ອງໂຫວ່ໄດ້ຖືກຄົ້ນພົບໂດຍຜູ້ເຂົ້າຮ່ວມ Bug Bounty ຊອກຫາລາງວັນສໍາລັບການຊອກຫາບັນຫາຄວາມປອດໄພ. ບັນຫາມີຜົນຕໍ່ທັງການບໍລິການ GitHub.com ແລະ GitHub Enterprise Server (GHES) ການຕັ້ງຄ່າທີ່ເຮັດວຽກຢູ່ໃນລະບົບຜູ້ໃຊ້.

ການວິເຄາະບັນທຶກ ແລະ ການກວດສອບພື້ນຖານໂຄງລ່າງບໍ່ໄດ້ເປີດເຜີຍຮ່ອງຮອຍຂອງການຂຸດຄົ້ນຊ່ອງຫວ່າງໃນອະດີດ ນອກຈາກກິດຈະກໍາຂອງນັກຄົ້ນຄວ້າທີ່ໄດ້ລາຍງານບັນຫາ. ແນວໃດກໍ່ຕາມ, ໂຄງສ້າງພື້ນຖານໄດ້ຖືກລິເລີ່ມເພື່ອທົດແທນກະແຈການເຂົ້າລະຫັດ ແລະຂໍ້ມູນປະຈຳຕົວທັງໝົດທີ່ອາດຈະຖືກທຳລາຍໄດ້ຖ້າຊ່ອງໂຫວ່ຖືກຂູດຮີດໂດຍຜູ້ໂຈມຕີ. ການທົດແທນກະແຈພາຍໃນເຮັດໃຫ້ການບໍລິການບາງຢ່າງຖືກຂັດຈັງຫວະໃນວັນທີ 27 ຫາ 29 ທັນວາ. ຜູ້ບໍລິຫານ GitHub ພະຍາຍາມພິຈາລະນາຄວາມຜິດພາດທີ່ເຮັດໃນລະຫວ່າງການປັບປຸງລະຫັດທີ່ສົ່ງຜົນກະທົບຕໍ່ລູກຄ້າທີ່ເຮັດໃນມື້ວານນີ້.

ໃນບັນດາສິ່ງອື່ນໆ, ປຸ່ມ GPG ທີ່ໃຊ້ໃນການເຊັນສັນຍາດິຈິຕອນທີ່ສ້າງຂຶ້ນໂດຍຜ່ານບັນນາທິການເວັບ GitHub ເມື່ອຍອມຮັບການຮ້ອງຂໍດຶງຢູ່ໃນເວັບໄຊທ໌ຫຼືຜ່ານຊຸດເຄື່ອງມື Codespace ໄດ້ຖືກປັບປຸງ. ກະແຈເກົ່າຢຸດໃຊ້ໄດ້ໃນວັນທີ 16 ມັງກອນ ເວລາ 23:23 ໂມງຕາມເວລາມອດໂກ, ແລະກະແຈອັນໃໝ່ໄດ້ນຳໃຊ້ແທນຕັ້ງແຕ່ມື້ວານນີ້. ເລີ່ມແຕ່ວັນທີ XNUMX ມັງກອນເປັນຕົ້ນໄປ, ສັນຍາໃໝ່ທັງໝົດທີ່ເຊັນດ້ວຍກະແຈກ່ອນໜ້າຈະບໍ່ຖືກໝາຍວ່າເປັນການຢັ້ງຢືນໃນ GitHub.

ວັນທີ 16 ມັງກອນຍັງໄດ້ປັບປຸງລະຫັດສາທາລະນະທີ່ໃຊ້ເພື່ອເຂົ້າລະຫັດຂໍ້ມູນຜູ້ໃຊ້ທີ່ສົ່ງຜ່ານ API ໄປຫາ GitHub Actions, GitHub Codespaces ແລະ Dependabot. ຜູ້ໃຊ້ທີ່ໃຊ້ກະແຈສາທາລະນະທີ່ເປັນເຈົ້າຂອງໂດຍ GitHub ເພື່ອກວດສອບການດໍາເນີນການຢູ່ໃນທ້ອງຖິ່ນແລະການເຂົ້າລະຫັດຂໍ້ມູນໃນການຂົນສົ່ງໄດ້ຖືກແນະນໍາເພື່ອຮັບປະກັນວ່າພວກເຂົາໄດ້ປັບປຸງລະຫັດ GitHub GPG ຂອງພວກເຂົາເພື່ອໃຫ້ລະບົບຂອງພວກເຂົາສືບຕໍ່ເຮັດວຽກຫຼັງຈາກກະແຈຖືກປ່ຽນແປງ.

GitHub ໄດ້ແກ້ໄຂຊ່ອງໂຫວ່ແລ້ວໃນ GitHub.com ແລະອອກອັບເດດຜະລິດຕະພັນສໍາລັບ GHES 3.8.13, 3.9.8, 3.10.5 ແລະ 3.11.3, ເຊິ່ງລວມມີການແກ້ໄຂສໍາລັບ CVE-2024-0200 (ການໃຊ້ການສະທ້ອນທີ່ບໍ່ປອດໄພທີ່ນໍາໄປສູ່ ການປະຕິບັດລະຫັດຫຼືວິທີການຄວບຄຸມໂດຍຜູ້ໃຊ້ໃນດ້ານເຊີຟເວີ). ການໂຈມຕີໃນການຕິດຕັ້ງ GHES ທ້ອງຖິ່ນສາມາດດໍາເນີນການໄດ້ຖ້າຜູ້ໂຈມຕີມີບັນຊີທີ່ມີສິດທິເຈົ້າຂອງອົງການ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru