പരിസ്ഥിതി വേരിയബിൾ ലീക്ക് അപകടസാധ്യത കാരണം GitHub GPG കീകൾ അപ്ഡേറ്റ് ചെയ്തിട്ടുണ്ട്

പ്രൊഡക്ഷൻ ഇൻഫ്രാസ്ട്രക്ചറിൽ ഉപയോഗിക്കുന്ന കണ്ടെയ്‌നറുകളിൽ തുറന്നിരിക്കുന്ന എൻവയോൺമെന്റ് വേരിയബിളുകളുടെ ഉള്ളടക്കത്തിലേക്ക് ആക്‌സസ് അനുവദിക്കുന്ന ഒരു അപകടസാധ്യത GitHub വെളിപ്പെടുത്തി. സുരക്ഷാ പ്രശ്‌നങ്ങൾ കണ്ടെത്തുന്നതിന് പ്രതിഫലം തേടി ബഗ് ബൗണ്ടിയിൽ പങ്കെടുത്തയാളാണ് ഈ അപകടസാധ്യത കണ്ടെത്തിയത്. ഈ പ്രശ്നം GitHub.com സേവനത്തെയും ഉപയോക്തൃ സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കുന്ന GitHub എന്റർപ്രൈസ് സെർവർ (GHES) കോൺഫിഗറേഷനുകളെയും ബാധിക്കുന്നു.

ലോഗുകളുടെ വിശകലനവും ഇൻഫ്രാസ്ട്രക്ചറിന്റെ ഓഡിറ്റും പ്രശ്നം റിപ്പോർട്ട് ചെയ്ത ഗവേഷകന്റെ പ്രവർത്തനം ഒഴികെ മുൻകാലങ്ങളിൽ ദുർബലതയുടെ ചൂഷണത്തിന്റെ യാതൊരു സൂചനയും വെളിപ്പെടുത്തിയിട്ടില്ല. എന്നിരുന്നാലും, ഒരു ആക്രമണകാരി അപകടസാധ്യത മുതലെടുത്താൽ വിട്ടുവീഴ്ച ചെയ്യപ്പെടാൻ സാധ്യതയുള്ള എല്ലാ എൻക്രിപ്ഷൻ കീകളും ക്രെഡൻഷ്യലുകളും മാറ്റിസ്ഥാപിക്കുന്നതിനാണ് ഇൻഫ്രാസ്ട്രക്ചർ ആരംഭിച്ചത്. ഇന്റേണൽ കീകൾ മാറ്റിസ്ഥാപിക്കുന്നത് ഡിസംബർ 27 മുതൽ 29 വരെ ചില സേവനങ്ങളെ തടസ്സപ്പെടുത്താൻ കാരണമായി. ഇന്നലെ വരുത്തിയ ക്ലയന്റുകളെ ബാധിക്കുന്ന കീകളുടെ അപ്‌ഡേറ്റ് സമയത്ത് സംഭവിച്ച പിഴവുകൾ കണക്കിലെടുക്കാൻ GitHub അഡ്മിനിസ്ട്രേറ്റർമാർ ശ്രമിച്ചു.

മറ്റ് കാര്യങ്ങളിൽ, സൈറ്റിൽ അല്ലെങ്കിൽ കോഡ്‌സ്‌പേസ് ടൂൾകിറ്റ് വഴി പുൾ അഭ്യർത്ഥനകൾ സ്വീകരിക്കുമ്പോൾ GitHub വെബ് എഡിറ്റർ മുഖേന സൃഷ്‌ടിച്ച കമ്മിറ്റുകൾ ഡിജിറ്റൽ സൈൻ ചെയ്യാൻ ഉപയോഗിക്കുന്ന GPG കീ അപ്‌ഡേറ്റ് ചെയ്‌തു. പഴയ കീ ജനുവരി 16 ന് മോസ്കോ സമയം 23:23 ന് സാധുതയുള്ളത് അവസാനിപ്പിച്ചു, പകരം ഇന്നലെ മുതൽ ഒരു പുതിയ കീ ഉപയോഗിച്ചു. ജനുവരി XNUMX മുതൽ, മുമ്പത്തെ കീ ഉപയോഗിച്ച് ഒപ്പിട്ട എല്ലാ പുതിയ കമ്മിറ്റുകളും GitHub-ൽ പരിശോധിച്ചതായി അടയാളപ്പെടുത്തില്ല.

GitHub Actions, GitHub Codespaces, Dependabot എന്നിവയിലേക്ക് API വഴി അയച്ച ഉപയോക്തൃ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന പൊതു കീകളും ജനുവരി 16 അപ്ഡേറ്റ് ചെയ്തു. GitHub-ന്റെ ഉടമസ്ഥതയിലുള്ള പൊതു കീകൾ ഉപയോഗിക്കുന്ന ഉപയോക്താക്കൾ പ്രാദേശികമായി കമ്മിറ്റുകൾ പരിശോധിക്കുന്നതിനും ട്രാൻസിറ്റിൽ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനും അവരുടെ GitHub GPG കീകൾ അപ്‌ഡേറ്റ് ചെയ്തിട്ടുണ്ടെന്ന് ഉറപ്പാക്കാൻ നിർദ്ദേശിക്കുന്നു, അതുവഴി കീകൾ മാറ്റിയതിന് ശേഷവും അവരുടെ സിസ്റ്റങ്ങൾ പ്രവർത്തിക്കുന്നത് തുടരും.

GitHub ഇതിനകം GitHub.com-ലെ കേടുപാടുകൾ പരിഹരിക്കുകയും GHES 3.8.13, 3.9.8, 3.10.5, 3.11.3 എന്നിവയ്‌ക്കായുള്ള ഒരു ഉൽപ്പന്ന അപ്‌ഡേറ്റ് പുറത്തിറക്കുകയും ചെയ്‌തു, അതിൽ CVE-2024-0200-നുള്ള പരിഹാരം ഉൾപ്പെടുന്നു (പ്രതിഫലനങ്ങളുടെ സുരക്ഷിതമല്ലാത്ത ഉപയോഗം കോഡ് എക്സിക്യൂഷൻ അല്ലെങ്കിൽ സെർവർ വശത്ത് ഉപയോക്തൃ നിയന്ത്രിത രീതികൾ). ആക്രമണകാരിക്ക് ഓർഗനൈസേഷൻ ഉടമയുടെ അവകാശങ്ങളുള്ള ഒരു അക്കൗണ്ട് ഉണ്ടെങ്കിൽ പ്രാദേശിക GHES ഇൻസ്റ്റാളേഷനുകളിൽ ആക്രമണം നടത്താം.

അവലംബം: opennet.ru