GitHub ги ажурираше клучевите GPG поради ранливоста на истекување на променливата на околината

GitHub откри ранливост што овозможува пристап до содржината на променливите на животната средина изложени во контејнерите што се користат во производствената инфраструктура. Ранливоста беше откриена од страна на учесник во Bug Bounty кој бара награда за наоѓање безбедносни проблеми. Проблемот влијае и на услугата GitHub.com и на конфигурациите на GitHub Enterprise Server (GHES) што работат на кориснички системи.

Анализата на дневниците и ревизијата на инфраструктурата не откри никакви траги на искористување на ранливоста во минатото освен активноста на истражувачот кој го пријавил проблемот. Сепак, инфраструктурата беше иницирана за да ги замени сите клучеви за шифрирање и акредитиви кои потенцијално би можеле да бидат компромитирани доколку ранливоста била искористена од напаѓач. Замената на внатрешните клучеви доведе до прекин на некои услуги од 27 до 29 декември. Администраторите на GitHub се обидоа да ги земат предвид грешките направени при ажурирањето на клучевите кои влијаат на клиентите направени вчера.

Меѓу другото, ажуриран е клучот GPG што се користи за дигитално потпишување на обврски создадени преку веб-уредникот на GitHub кога се прифаќаат барања за повлекување на страницата или преку алатката Codespace. Стариот клуч престана да важи на 16 јануари во 23 часот по московско време, а наместо него од вчера се користи нов клуч. Почнувајќи од 23 јануари, сите нови обврски потпишани со претходниот клуч нема да бидат означени како потврдени на GitHub.

На 16 јануари, исто така, ги ажурираше јавните клучеви што се користат за шифрирање на корисничките податоци испратени преку API до GitHub Actions, GitHub Codespaces и Dependabot. Корисниците кои користат јавни клучеви во сопственост на GitHub за локално да ги проверуваат обврските и да ги шифрираат податоците во транзит, им се советува да се погрижат да ги ажурираат своите клучеви GitHub GPG, така што нивните системи да продолжат да функционираат по промената на клучевите.

GitHub веќе ја поправи ранливоста на GitHub.com и објави ажурирање на производот за GHES 3.8.13, 3.9.8, 3.10.5 и 3.11.3, што вклучува поправка за CVE-2024-0200 (небезбедна употреба на рефлексии што доведува до извршување на код или методи контролирани од корисникот на страната на серверот). Може да се изврши напад врз локални инсталации на GHES доколку напаѓачот има сметка со права на сопственикот на организацијата.

Извор: opennet.ru