GitHub ने GPG की अद्ययावत केल्या आहेत कारण पर्यावरण परिवर्तनीय लीक असुरक्षा

GitHub ने एक भेद्यता उघड केली आहे जी उत्पादन पायाभूत सुविधांमध्ये वापरल्या जाणार्‍या कंटेनरमध्ये उघड झालेल्या पर्यावरणीय चलांच्या सामग्रीमध्ये प्रवेश करण्यास अनुमती देते. सुरक्षा समस्या शोधण्यासाठी बक्षीस मागणाऱ्या बग बाउंटी सहभागीद्वारे असुरक्षा शोधण्यात आली. ही समस्या GitHub.com सेवा आणि GitHub एंटरप्राइझ सर्व्हर (GHES) कॉन्फिगरेशन वापरकर्त्यांच्या सिस्टमवर चालणारी दोन्ही प्रभावित करते.

नोंदींचे विश्लेषण आणि पायाभूत सुविधांच्या लेखापरीक्षणात या समस्येचा अहवाल देणाऱ्या संशोधकाच्या क्रियाकलापाशिवाय भूतकाळातील असुरक्षिततेच्या शोषणाच्या कोणत्याही खुणा दिसून आल्या नाहीत. तथापि, सर्व एनक्रिप्शन की आणि क्रेडेन्शियल्स पुनर्स्थित करण्यासाठी पायाभूत सुविधा सुरू करण्यात आल्या होत्या ज्यात आक्रमणकर्त्याद्वारे भेद्यतेचा गैरफायदा घेतल्यास संभाव्य तडजोड केली जाऊ शकते. अंतर्गत कळा बदलल्यामुळे 27 ते 29 डिसेंबर या कालावधीत काही सेवा विस्कळीत झाल्या. GitHub प्रशासकांनी काल केलेल्या क्लायंटला प्रभावित करणार्‍या की अपडेट करताना झालेल्या चुका लक्षात घेण्याचा प्रयत्न केला.

इतर गोष्टींबरोबरच, साइटवर पुल विनंत्या स्वीकारताना किंवा कोडस्पेस टूलकिटद्वारे GitHub वेब एडिटरद्वारे तयार केलेल्या कमिटवर डिजिटल स्वाक्षरी करण्यासाठी वापरली जाणारी GPG की अद्यतनित केली गेली आहे. जुनी की 16 जानेवारी रोजी मॉस्को वेळेनुसार 23:23 वाजता वैध राहणे बंद झाली आणि कालपासून त्याऐवजी नवीन की वापरली गेली. XNUMX जानेवारीपासून, मागील की सह स्वाक्षरी केलेल्या सर्व नवीन कमिट GitHub वर सत्यापित म्हणून चिन्हांकित केले जाणार नाहीत.

16 जानेवारीने API द्वारे GitHub Actions, GitHub Codespaces आणि Dependabot ला पाठवलेला वापरकर्ता डेटा एन्क्रिप्ट करण्यासाठी वापरल्या जाणार्‍या सार्वजनिक की देखील अपडेट केल्या. जे वापरकर्ते GitHub च्या मालकीच्या सार्वजनिक की वापरतात ते स्थानिक पातळीवर कमिट तपासण्यासाठी आणि ट्रान्झिटमध्ये डेटा एन्क्रिप्ट करण्यासाठी त्यांनी त्यांच्या GitHub GPG की अपडेट केल्या आहेत याची खात्री करण्याचा सल्ला दिला जातो जेणेकरून की बदलल्यानंतर त्यांची प्रणाली कार्य करत राहते.

GitHub ने GitHub.com वरील असुरक्षितता आधीच निश्चित केली आहे आणि GHES 3.8.13, 3.9.8, 3.10.5 आणि 3.11.3 साठी उत्पादन अद्यतन जारी केले आहे, ज्यामध्ये CVE-2024-0200 (प्रतिबिंबांचा असुरक्षित वापर) साठी निराकरण समाविष्ट आहे कोड अंमलबजावणी किंवा सर्व्हरच्या बाजूला वापरकर्ता-नियंत्रित पद्धती). जर हल्लेखोराचे संस्थेच्या मालक अधिकारांसह खाते असेल तर स्थानिक GHES प्रतिष्ठानांवर हल्ला केला जाऊ शकतो.

स्त्रोत: opennet.ru