ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിലെ കേടുപാടുകൾ തിരിച്ചറിയുന്നതിനായി GitHub ഒരു സംയുക്ത പദ്ധതി ആരംഭിച്ചു

സാമൂഹികം സംസാരിച്ചു മുൻകൈയോടെ GitHub സെക്യൂരിറ്റി ലാബ്, ഓപ്പൺ സോഴ്‌സ് പ്രോജക്റ്റുകളുടെ കോഡിലെ അപകടസാധ്യതകൾ തിരിച്ചറിയുന്നതിനും അവ ഇല്ലാതാക്കുന്നതിൽ സഹായിക്കുന്നതിനുമായി വിവിധ കമ്പനികളിൽ നിന്നും ഓർഗനൈസേഷനുകളിൽ നിന്നുമുള്ള സുരക്ഷാ വിദഗ്ധരുടെ സംയുക്ത പ്രവർത്തനം സംഘടിപ്പിക്കുക എന്നതാണ് ഇതിന്റെ ലക്ഷ്യം.

താൽപ്പര്യമുള്ള എല്ലാ കമ്പനികളെയും വ്യക്തിഗത കമ്പ്യൂട്ടർ സുരക്ഷാ വിദഗ്ധരെയും ഈ സംരംഭത്തിൽ ചേരാൻ ക്ഷണിക്കുന്നു. ഒരു അപകടസാധ്യത തിരിച്ചറിയുന്നതിന് നൽകിയത് പ്രശ്നത്തിന്റെ കാഠിന്യവും റിപ്പോർട്ടിന്റെ ഗുണനിലവാരവും അനുസരിച്ച് $3000 വരെ പ്രതിഫലം നൽകും. പ്രശ്നങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ സമർപ്പിക്കാൻ, ഉപകരണം ഉപയോഗിക്കാൻ ഞങ്ങൾ നിർദ്ദേശിക്കുന്നു. CodeQL, മറ്റ് പ്രോജക്റ്റുകളുടെ കോഡിലും സമാനമായ ഒരു ദുർബലതയുടെ സാന്നിധ്യം തിരിച്ചറിയുന്നതിന് ദുർബലമായ കോഡിന്റെ ഒരു ടെംപ്ലേറ്റ് സൃഷ്ടിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു (കോഡിന്റെ സെമാന്റിക് വിശകലനം നടത്താനും നിർദ്ദിഷ്ട നിർമ്മാണങ്ങൾക്കായി തിരയുന്നതിനായി അന്വേഷണങ്ങൾ സൃഷ്ടിക്കാനും കോഡ്ക്യുഎൽ നിങ്ങളെ അനുവദിക്കുന്നു).

ഈ സംരംഭത്തിൽ ഇതിനകം തന്നെ F5, ഗൂഗിൾ, ഹാക്കർവൺ, ഇന്റൽ, IOActive, JP Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber, എന്നിവയിൽ നിന്നുള്ള സുരക്ഷാ ഗവേഷകർ പങ്കുചേർന്നു.
കഴിഞ്ഞ രണ്ട് വർഷമായി വിഎംവെയർ, വെളിപ്പെടുത്തി и അത് ശരിയാക്കാൻ സഹായിച്ചു Chromium, libssh2, kernel തുടങ്ങിയ പ്രോജക്റ്റുകളിലെ 105 ദുർബലതകൾ Linux, മെംകാഷ്ഡ്, യുബൂട്ട്, വിഎൽസി, അപ്പോർട്ട്, എച്ച്എച്ച്വിഎം, എക്സിവ്2, എഫ്എഫ്എംപെഗ്, ഫിസ്, ലിബാവ്, അൻസിബിൾ, എൻപിഎം, എക്സ്എൻയു, ഗോസ്റ്റ്സ്ക്രിപ്റ്റ്, ഐസ്കാസ്റ്റ്, അപ്പാച്ചെ സ്ട്രട്ട്സ്, സ്ട്രോങ്സ്വാൻ, അപ്പാച്ചെ ഇഗ്നൈറ്റ്, ർസിസ്ലോഗ്, അപ്പാച്ചെ ജിയോഡ്, ഹഡൂപ്പ്.

GitHub-ന്റെ നിർദ്ദിഷ്ട കോഡ് സുരക്ഷാ ജീവിതചക്രം അനുസരിച്ച്, GitHub സെക്യൂരിറ്റി ലാബ് അംഗങ്ങൾ ദുർബലതകൾ തിരിച്ചറിയേണ്ടതുണ്ട്. ഈ പ്രശ്നങ്ങൾ പിന്നീട് പരിപാലകർക്കും ഡെവലപ്പർമാർക്കും റിപ്പോർട്ട് ചെയ്യപ്പെടും, അവർ പരിഹാരങ്ങൾ വികസിപ്പിക്കുകയും വെളിപ്പെടുത്തലിന്റെ സമയം ഏകോപിപ്പിക്കുകയും പാച്ച് ചെയ്ത പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ആശ്രിത പ്രോജക്റ്റുകളെ അറിയിക്കുകയും ചെയ്യും. GitHub-ൽ ഹോസ്റ്റ് ചെയ്തിരിക്കുന്ന കോഡിൽ പാച്ച് ചെയ്ത പ്രശ്നങ്ങൾ ആവർത്തിക്കുന്നത് തടയാൻ CodeQL ടെംപ്ലേറ്റുകൾ ഡാറ്റാബേസിൽ അടങ്ങിയിരിക്കും.

നിങ്ങൾക്ക് ഇപ്പോൾ GitHub ഇന്റർഫേസ് ഉപയോഗിക്കാം получить തിരിച്ചറിഞ്ഞ പ്രശ്നത്തിനായി CVE ഐഡന്റിഫയർ സമർപ്പിച്ച് ഒരു റിപ്പോർട്ട് തയ്യാറാക്കുക, തുടർന്ന് GitHub ആവശ്യമായ അറിയിപ്പുകൾ അയയ്ക്കുകയും ഒരു ഏകോപിത പരിഹാരം സംഘടിപ്പിക്കുകയും ചെയ്യും. കൂടാതെ, പ്രശ്നം പരിഹരിച്ചുകഴിഞ്ഞാൽ, ദുർബലമായ പ്രോജക്റ്റുമായി ബന്ധപ്പെട്ട ഡിപൻഡൻസികൾ അപ്‌ഡേറ്റ് ചെയ്യുന്നതിനുള്ള പുൾ അഭ്യർത്ഥനകൾ GitHub സ്വയമേവ അയയ്ക്കും.

GitHub അതിന്റെ സൈറ്റിൽ ഒരു ദുർബലതാ കാറ്റലോഗും ചേർത്തു. GitHub ഉപദേശക ഡാറ്റാബേസ്, ഇത് GitHub പ്രോജക്റ്റുകളെ ബാധിക്കുന്ന ദുർബലതകളെക്കുറിച്ചുള്ള വിവരങ്ങളും ബാധിച്ച പാക്കേജുകളും റിപ്പോസിറ്ററികളും ട്രാക്ക് ചെയ്യുന്നതിനുള്ള വിവരങ്ങളും പ്രസിദ്ധീകരിക്കുന്നു. GitHub-ലെ അഭിപ്രായങ്ങളിൽ പരാമർശിച്ചിരിക്കുന്ന CVE ഐഡന്റിഫയറുകൾ ഇപ്പോൾ നൽകിയിരിക്കുന്ന ഡാറ്റാബേസിലെ വിശദമായ ദുർബലത വിവരങ്ങളിലേക്ക് യാന്ത്രികമായി ലിങ്ക് ചെയ്യുന്നു. ഡാറ്റാബേസുമായി പ്രവർത്തിക്കുന്നത് ഓട്ടോമേറ്റ് ചെയ്യുന്നതിന് ഒരു പ്രത്യേക ഉപകരണം അവതരിപ്പിച്ചിട്ടുണ്ട്. എപിഐ.

ഒരു അപ്‌ഡേറ്റും റിപ്പോർട്ട് ചെയ്തിട്ടുണ്ട് സേവനം പ്രതിരോധിക്കാൻ ഹിറ്റുകൾ പൊതുവായി ലഭ്യമായ സംഭരണികളിലേക്ക്
ആധികാരികത ടോക്കണുകൾ, ആക്‌സസ് കീകൾ തുടങ്ങിയ സെൻസിറ്റീവ് ഡാറ്റ. ഒരു കമ്മിറ്റ് സമയത്ത്, ഉപയോഗിക്കുന്ന സാധാരണ കീ, ടോക്കൺ ഫോർമാറ്റുകൾക്കായി സ്കാനർ പരിശോധിക്കുന്നു. 20 ക്ലൗഡ് ദാതാക്കളും സേവനങ്ങളുംആലിബാബ ക്ലൗഡ്, ആമസോൺ വെബ് സർവീസസ് (AWS), അസൂർ, ഗൂഗിൾ ക്ലൗഡ്, സ്ലാക്ക്, സ്ട്രൈപ്പ് API-കൾ എന്നിവയുൾപ്പെടെ. ഒരു ടോക്കൺ കണ്ടെത്തിയാൽ, ചോർച്ച സ്ഥിരീകരിക്കുന്നതിനും അപഹരിക്കപ്പെട്ട ടോക്കണുകൾ പിൻവലിക്കുന്നതിനുമായി സേവന ദാതാവിന് ഒരു അഭ്യർത്ഥന അയയ്ക്കും. ഇന്നലെ മുതൽ, മുമ്പ് പിന്തുണച്ചിരുന്ന ഫോർമാറ്റുകൾക്ക് പുറമേ, GoCardless, HashiCorp, Postman, Tencent എന്നിവയിൽ നിന്നുള്ള ടോക്കണുകൾ കണ്ടെത്തുന്നതിനുള്ള പിന്തുണ ചേർത്തു.

അവലംബം: opennet.ru