GitHub ने ओपन सोर्स सॉफ्टवेअरमधील भेद्यता ओळखण्यासाठी एक संयुक्त प्रकल्प सुरू केला

GitHub बोलले पुढाकाराने GitHub सुरक्षा लॅब, ओपन सोर्स प्रोजेक्ट्सच्या कोडमध्ये असुरक्षा ओळखण्यासाठी आणि त्यांना दूर करण्यात मदत करण्यासाठी विविध कंपन्या आणि संस्थांमधील सुरक्षा तज्ञांच्या सहकार्याचे आयोजन करण्याच्या उद्देशाने.

सर्व इच्छुक कंपन्या आणि वैयक्तिक संगणक सुरक्षा तज्ञांना उपक्रमात सामील होण्यासाठी आमंत्रित केले आहे. असुरक्षा ओळखण्यासाठी प्रदान केले समस्येची तीव्रता आणि अहवालाच्या गुणवत्तेवर अवलंबून $3000 पर्यंतचे बक्षीस देय. समस्या माहिती सबमिट करण्यासाठी आम्ही टूलकिट वापरण्याची सूचना करतो. कोडक्यूएल, जे तुम्हाला इतर प्रकल्पांच्या कोडमध्ये समान भेद्यतेची उपस्थिती ओळखण्यासाठी असुरक्षित कोडचे टेम्पलेट व्युत्पन्न करण्यास अनुमती देते (कोडक्यूएल कोडचे अर्थपूर्ण विश्लेषण करणे आणि विशिष्ट संरचना शोधण्यासाठी क्वेरी निर्माण करणे शक्य करते).

F5, Google, HackerOne, Intel, IOActive, J.P. मधील सुरक्षा संशोधक आधीच या उपक्रमात सामील झाले आहेत. मॉर्गन, लिंक्डइन, मायक्रोसॉफ्ट, मोझिला, एनसीसी ग्रुप, ओरॅकल, ट्रेल ऑफ बिट्स, उबर आणि
VMWare, जे गेल्या दोन वर्षांत ओळखले и मला ते ठीक करण्यात मदत केली Chromium, libssh105, Linux kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, Iwanspache, Iwanspache, स्ट्राँग स्क्रिप्ट यासारख्या प्रकल्पांमध्ये 2 भेद्यता , Apache Geode आणि Hadoop.

GitHub च्या प्रस्तावित कोड सिक्युरिटी लाइफसायकलमध्ये GitHub सिक्युरिटी लॅब सदस्यांना भेद्यता ओळखणे समाविष्ट आहे, जे नंतर देखभाल करणार्‍यांना आणि विकासकांना कळवले जाईल, जे निराकरणे विकसित करतील, समस्या कधी उघड करायची ते समन्वयित करतील आणि असुरक्षा दूर करून आवृत्ती स्थापित करण्यासाठी अवलंबून असलेल्या प्रकल्पांना सूचित करतील. GitHub वर उपस्थित असलेल्या कोडमध्ये सोडवलेल्या समस्या पुन्हा दिसण्यापासून रोखण्यासाठी डेटाबेसमध्ये CodeQL टेम्पलेट्स असतील.

GitHub इंटरफेसद्वारे तुम्ही आता करू शकता मिळविण्यासाठी ओळखल्या गेलेल्या समस्येसाठी CVE अभिज्ञापक आणि एक अहवाल तयार करा आणि GitHub स्वतः आवश्यक सूचना पाठवेल आणि त्यांच्या समन्वयित दुरुस्तीचे आयोजन करेल. शिवाय, एकदा समस्येचे निराकरण झाल्यानंतर, GitHub प्रभावित प्रकल्पाशी संबंधित अवलंबित्व अद्यतनित करण्यासाठी स्वयंचलितपणे पुल विनंत्या सबमिट करेल.

GitHub ने असुरक्षिततेची यादी देखील जोडली आहे GitHub सल्लागार डेटाबेस, जी GitHub वरील प्रकल्पांना प्रभावित करणार्‍या असुरक्षा आणि प्रभावित पॅकेजेस आणि रेपॉजिटरीजचा मागोवा घेण्यासाठी माहिती प्रकाशित करते. GitHub वरील टिप्पण्यांमध्ये नमूद केलेले CVE अभिज्ञापक आता सबमिट केलेल्या डेटाबेसमधील भेद्यतेबद्दल तपशीलवार माहितीशी आपोआप लिंक होतात. डेटाबेससह कार्य स्वयंचलित करण्यासाठी, एक वेगळे API.

अद्यतन देखील नोंदवले जाते सेवा विरुद्ध संरक्षण करण्यासाठी हिट सार्वजनिकरित्या प्रवेश करण्यायोग्य भांडारांसाठी
प्रमाणीकरण टोकन आणि ऍक्सेस की सारखा संवेदनशील डेटा. कमिट करताना, स्कॅनर वापरलेल्या ठराविक की आणि टोकन फॉरमॅट तपासतो 20 क्लाउड प्रदाता आणि सेवा, Alibaba Cloud API, Amazon Web Services (AWS), Azure, Google Cloud, Slack आणि Stripe सह. टोकन ओळखले गेल्यास, गळतीची पुष्टी करण्यासाठी आणि तडजोड केलेले टोकन मागे घेण्यासाठी सेवा प्रदात्याला विनंती पाठविली जाते. कालपर्यंत, पूर्वी समर्थित स्वरूपांव्यतिरिक्त, GoCardless, HashiCorp, Postman आणि Tencent टोकन्स परिभाषित करण्यासाठी समर्थन जोडले गेले आहे.

स्त्रोत: opennet.ru