GitHub ले GPG कुञ्जीहरू वातावरणीय चर चुहावट जोखिमको कारण अद्यावधिक गरेको छ

GitHub ले एक जोखिम खुलासा गरेको छ जसले उत्पादन पूर्वाधारमा प्रयोग गरिएका कन्टेनरहरूमा पर्दाफास गरिएको वातावरणीय चरहरूको सामग्रीहरूमा पहुँच गर्न अनुमति दिन्छ। सुरक्षा समस्याहरू फेला पार्नको लागि इनाम खोज्दै बग बाउन्टी सहभागीद्वारा भेद्यता पत्ता लगाइएको थियो। समस्याले GitHub.com सेवा र GitHub इन्टरप्राइज सर्भर (GHES) प्रयोगकर्ता प्रणालीहरूमा चलिरहेको कन्फिगरेसन दुवैलाई असर गर्छ।

लगहरूको विश्लेषण र पूर्वाधारको लेखापरीक्षणले समस्याको रिपोर्ट गर्ने अनुसन्धानकर्ताको गतिविधि बाहेक विगतमा जोखिमको शोषणको कुनै चिन्हहरू प्रकट गरेन। यद्यपि, पूर्वाधार सबै इन्क्रिप्शन कुञ्जीहरू र प्रमाणहरू प्रतिस्थापन गर्न प्रारम्भ गरिएको थियो जुन सम्भावित रूपमा सम्झौता हुन सक्छ यदि जोखिमलाई आक्रमणकारीले शोषण गरेको थियो। आन्तरिक कुञ्जीहरू प्रतिस्थापन गर्दा डिसेम्बर 27 देखि 29 सम्म केही सेवाहरू अवरुद्ध भएको थियो। GitHub प्रशासकहरूले हिजो बनाइएका ग्राहकहरूलाई असर गर्ने कुञ्जीहरूको अद्यावधिकको क्रममा भएका गल्तीहरूलाई ध्यानमा राख्ने प्रयास गरे।

अन्य चीजहरू मध्ये, साइटमा वा कोडस्पेस टूलकिट मार्फत पुल अनुरोधहरू स्वीकार गर्दा GitHub वेब सम्पादक मार्फत सिर्जना गरिएका कमिटहरू डिजिटल रूपमा साइन गर्न प्रयोग गरिने GPG कुञ्जी अद्यावधिक गरिएको छ। पुरानो कुञ्जी जनवरी 16 मा मस्को समय 23:23 मा मान्य हुन बन्द भयो, र हिजो देखि यसको सट्टा नयाँ कुञ्जी प्रयोग गरिएको छ। जनवरी २३ देखि, अघिल्लो कुञ्जीसँग हस्ताक्षर गरिएका सबै नयाँ कमिटहरूलाई GitHub मा प्रमाणित भनी चिन्ह लगाइने छैन।

जनवरी 16 ले GitHub कार्यहरू, GitHub Codespaces, र Dependabot मा API मार्फत पठाइएका प्रयोगकर्ता डेटा इन्क्रिप्ट गर्न प्रयोग गरिने सार्वजनिक कुञ्जीहरू पनि अद्यावधिक गरियो। GitHub को स्वामित्वमा रहेको सार्वजनिक कुञ्जीहरू प्रयोग गर्ने प्रयोगकर्ताहरूलाई स्थानीय रूपमा कमिटहरू जाँच गर्न र ट्रान्जिटमा डेटा इन्क्रिप्ट गर्न उनीहरूले उनीहरूको GitHub GPG कुञ्जीहरू अद्यावधिक गरेका छन् भनेर सुनिश्चित गर्न सल्लाह दिइन्छ ताकि तिनीहरूको प्रणालीहरूले कुञ्जीहरू परिवर्तन गरिसकेपछि काम गर्न जारी राख्छन्।

GitHub ले पहिले नै GitHub.com मा कमजोरी फिक्स गरिसकेको छ र GHES 3.8.13, 3.9.8, 3.10.5 र 3.11.3 को लागि उत्पादन अपडेट जारी गरेको छ, जसमा CVE-2024-0200 (प्रतिबिम्बको असुरक्षित प्रयोग) को लागि फिक्स समावेश छ। सर्भर साइडमा कोड कार्यान्वयन वा प्रयोगकर्ता-नियन्त्रित विधिहरू)। स्थानीय GHES स्थापनाहरूमा आक्रमण गर्न सकिन्छ यदि आक्रमणकारीसँग संगठन मालिक अधिकारहरूसँग खाता छ भने।

स्रोत: opennet.ru