ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിലെ കേടുപാടുകൾ തിരിച്ചറിയുന്നതിനായി GitHub ഒരു സംയുക്ത പദ്ധതി ആരംഭിച്ചു

സാമൂഹികം സംസാരിച്ചു മുൻകൈയോടെ GitHub സെക്യൂരിറ്റി ലാബ്, ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റുകളുടെ കോഡിൽ കേടുപാടുകൾ തിരിച്ചറിയുന്നതിനും അവ ഇല്ലാതാക്കുന്നതിൽ സഹായിക്കുന്നതിനും വിവിധ കമ്പനികളിൽ നിന്നും ഓർഗനൈസേഷനുകളിൽ നിന്നുമുള്ള സുരക്ഷാ വിദഗ്ധരുടെ സഹകരണം സംഘടിപ്പിക്കാൻ ലക്ഷ്യമിടുന്നു.

താൽപ്പര്യമുള്ള എല്ലാ കമ്പനികളെയും വ്യക്തിഗത കമ്പ്യൂട്ടർ സുരക്ഷാ വിദഗ്ധരെയും സംരംഭത്തിൽ ചേരാൻ ക്ഷണിക്കുന്നു. അപകടസാധ്യത തിരിച്ചറിയുന്നതിന് നൽകിയത് പ്രശ്നത്തിന്റെ തീവ്രതയും റിപ്പോർട്ടിന്റെ ഗുണനിലവാരവും അനുസരിച്ച് $3000 വരെ പ്രതിഫലം നൽകണം. പ്രശ്ന വിവരം സമർപ്പിക്കാൻ ടൂൾകിറ്റ് ഉപയോഗിക്കാൻ ഞങ്ങൾ നിർദ്ദേശിക്കുന്നു. CodeQL, മറ്റ് പ്രോജക്റ്റുകളുടെ കോഡിൽ സമാനമായ കേടുപാടുകൾ ഉണ്ടെന്ന് തിരിച്ചറിയാൻ ദുർബലമായ കോഡിന്റെ ഒരു ടെംപ്ലേറ്റ് സൃഷ്ടിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു (കോഡിന്റെ സെമാന്റിക് വിശകലനം നടത്താനും ചില ഘടനകൾക്കായി അന്വേഷണങ്ങൾ സൃഷ്ടിക്കാനും കോഡ്ക്യുഎൽ സാധ്യമാക്കുന്നു).

F5, Google, HackerOne, Intel, IOActive, JP Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber എന്നിവയിൽ നിന്നുള്ള സുരക്ഷാ ഗവേഷകർ
കഴിഞ്ഞ രണ്ട് വർഷമായി വിഎംവെയർ വെളിപ്പെടുത്തി и അത് ശരിയാക്കാൻ എന്നെ സഹായിച്ചു Chromium, libssh105, Linux kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apachewans, Apachewans, Apachewans, എന്നിങ്ങനെയുള്ള പ്രോജക്റ്റുകളിലെ 2 കേടുപാടുകൾ , അപ്പാച്ചെ ജിയോഡും ഹഡൂപ്പും.

GitHub-ന്റെ നിർദ്ദിഷ്ട കോഡ് സെക്യൂരിറ്റി ലൈഫ് സൈക്കിളിൽ GitHub സെക്യൂരിറ്റി ലാബ് അംഗങ്ങൾ കേടുപാടുകൾ തിരിച്ചറിയുന്നു, അത് മെയിന്റനർമാർക്കും ഡവലപ്പർമാർക്കും അറിയിക്കും, അവർ പരിഹാരങ്ങൾ വികസിപ്പിക്കുകയും പ്രശ്നം എപ്പോൾ വെളിപ്പെടുത്തണമെന്ന് ഏകോപിപ്പിക്കുകയും പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ആശ്രിത പ്രോജക്റ്റുകളെ അറിയിക്കുകയും ചെയ്യും. GitHub-ൽ നിലവിലുള്ള കോഡിൽ പരിഹരിച്ച പ്രശ്നങ്ങൾ വീണ്ടും പ്രത്യക്ഷപ്പെടുന്നത് തടയാൻ ഡാറ്റാബേസിൽ CodeQL ടെംപ്ലേറ്റുകൾ അടങ്ങിയിരിക്കും.

GitHub ഇന്റർഫേസിലൂടെ നിങ്ങൾക്ക് ഇപ്പോൾ കഴിയും получить തിരിച്ചറിഞ്ഞ പ്രശ്‌നത്തിനുള്ള CVE ഐഡന്റിഫയർ ഒരു റിപ്പോർട്ട് തയ്യാറാക്കുകയും GitHub തന്നെ ആവശ്യമായ അറിയിപ്പുകൾ അയയ്‌ക്കുകയും അവയുടെ ഏകോപിത തിരുത്തൽ സംഘടിപ്പിക്കുകയും ചെയ്യും. മാത്രമല്ല, പ്രശ്നം പരിഹരിച്ചുകഴിഞ്ഞാൽ, ബാധിച്ച പ്രോജക്റ്റുമായി ബന്ധപ്പെട്ട ഡിപൻഡൻസികൾ അപ്ഡേറ്റ് ചെയ്യുന്നതിനായി GitHub സ്വയമേവ പുൾ അഭ്യർത്ഥനകൾ സമർപ്പിക്കും.

GitHub അപകടസാധ്യതകളുടെ ഒരു പട്ടികയും ചേർത്തിട്ടുണ്ട് GitHub ഉപദേശക ഡാറ്റാബേസ്, GitHub-ലെ പ്രോജക്റ്റുകളെ ബാധിക്കുന്ന കേടുപാടുകളെക്കുറിച്ചുള്ള വിവരങ്ങളും ബാധിത പാക്കേജുകളും ശേഖരണങ്ങളും ട്രാക്കുചെയ്യുന്നതിനുള്ള വിവരങ്ങളും പ്രസിദ്ധീകരിക്കുന്നു. GitHub-ലെ അഭിപ്രായങ്ങളിൽ പരാമർശിച്ചിരിക്കുന്ന CVE ഐഡന്റിഫയറുകൾ ഇപ്പോൾ സമർപ്പിച്ച ഡാറ്റാബേസിലെ അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങളിലേക്ക് സ്വയമേവ ലിങ്ക് ചെയ്യുന്നു. ഡാറ്റാബേസിനൊപ്പം ജോലി ഓട്ടോമേറ്റ് ചെയ്യുന്നതിന്, ഒരു പ്രത്യേക എപിഐ.

അപ്ഡേറ്റും റിപ്പോർട്ട് ചെയ്തിട്ടുണ്ട് സേവനം പ്രതിരോധിക്കാൻ ഹിറ്റുകൾ പൊതുവായി ആക്സസ് ചെയ്യാവുന്ന ശേഖരണങ്ങളിലേക്ക്
പ്രാമാണീകരണ ടോക്കണുകളും ആക്സസ് കീകളും പോലുള്ള സെൻസിറ്റീവ് ഡാറ്റ. ഒരു കമ്മിറ്റ് സമയത്ത്, സ്കാനർ സാധാരണ കീയും ടോക്കൺ ഫോർമാറ്റുകളും പരിശോധിക്കുന്നു 20 ക്ലൗഡ് ദാതാക്കളും സേവനങ്ങളും, Alibaba Cloud API, Amazon Web Services (AWS), Azure, Google Cloud, Slack and Stripe എന്നിവയുൾപ്പെടെ. ഒരു ടോക്കൺ തിരിച്ചറിഞ്ഞാൽ, ചോർച്ച സ്ഥിരീകരിക്കാനും വിട്ടുവീഴ്ച ചെയ്ത ടോക്കണുകൾ അസാധുവാക്കാനും സേവന ദാതാവിന് ഒരു അഭ്യർത്ഥന അയയ്ക്കും. ഇന്നലെ മുതൽ, മുമ്പ് പിന്തുണച്ച ഫോർമാറ്റുകൾക്ക് പുറമേ, GoCardless, HashiCorp, Postman, Tencent ടോക്കണുകൾ എന്നിവ നിർവചിക്കുന്നതിനുള്ള പിന്തുണ ചേർത്തു.

അവലംബം: opennet.ru