GitHub ले खुला स्रोत सफ्टवेयरमा जोखिमहरू पहिचान गर्न सहयोगी परियोजना सुरु गर्‍यो

GitHub बोल्यो पहल संग GitHub सुरक्षा प्रयोगशाला, खुला स्रोत परियोजनाहरूको कोडमा कमजोरीहरू पहिचान गर्न र तिनीहरूको उन्मूलनमा सहयोग गर्न विभिन्न कम्पनीहरू र संस्थाहरूका सुरक्षा विशेषज्ञहरूको संयुक्त कार्यलाई व्यवस्थित गर्ने उद्देश्यले।

सबै इच्छुक कम्पनीहरू र व्यक्तिगत कम्प्युटर सुरक्षा विशेषज्ञहरूलाई यस पहलमा सामेल हुन आमन्त्रित गरिएको छ। जोखिम पहिचान गर्न प्रदान गरियो मुद्दाको गम्भीरता र रिपोर्टको गुणस्तरमा निर्भर गर्दै $३,००० सम्मको पुरस्कार दिइनेछ। समस्याहरूको बारेमा जानकारी पेश गर्न, हामी उपकरण प्रयोग गर्न सुझाव दिन्छौं। कोडक्यूएल, जसले तपाईंलाई अन्य परियोजनाहरूको कोडमा समान जोखिमको उपस्थिति पहिचान गर्न कमजोर कोडको टेम्प्लेट सिर्जना गर्न अनुमति दिन्छ (CodeQL ले तपाईंलाई कोडको अर्थपूर्ण विश्लेषण गर्न र विशिष्ट निर्माणहरू खोज्न प्रश्नहरू उत्पन्न गर्न अनुमति दिन्छ)।

यस पहलमा F5, Google, HackerOne, Intel, IOActive, JP Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber र का सुरक्षा अनुसन्धानकर्ताहरू पहिले नै सामेल भइसकेका छन्।
VMWare, जसले विगत दुई वर्षमा खुलासा и यसलाई ठीक गर्न मद्दत गर्‍यो क्रोमियम, libssh2, कर्नेल जस्ता परियोजनाहरूमा १०५ कमजोरीहरू Linux, मेमक्याच्ड, युबुट, भीएलसी, एपोर्ट, एचएचभीएम, एक्सिभ२, एफएफएमपेग, फिज, लिब्याभ, एन्सिबल, एनपीएम, एक्सएनयू, घोस्टस्क्रिप्ट, आइसकास्ट, अपाचे स्ट्रट्स, स्ट्रङस्वान, अपाचे इग्नाइट, आरएसिसलग, अपाचे जिओड र हडूप।

GitHub को प्रस्तावित कोड सुरक्षा जीवनचक्रको लागि GitHub सुरक्षा ल्याब सदस्यहरूले कमजोरीहरू पहिचान गर्न आवश्यक छ। त्यसपछि यी समस्याहरू मर्मतकर्ताहरू र विकासकर्ताहरूलाई रिपोर्ट गरिनेछ, जसले समाधानहरू विकास गर्नेछन्, खुलासाको समय समन्वय गर्नेछन्, र प्याच गरिएको संस्करण स्थापना गर्न आश्रित परियोजनाहरूलाई सूचित गर्नेछन्। GitHub मा होस्ट गरिएको कोडमा प्याच गरिएका समस्याहरूको पुनरावृत्ति रोक्न डाटाबेसमा CodeQL टेम्प्लेटहरू हुनेछन्।

अब तपाईं GitHub इन्टरफेस प्रयोग गर्न सक्नुहुन्छ प्राप्त गर्नु पहिचान गरिएको समस्याको लागि CVE पहिचानकर्ता पेश गर्नुहोस् र रिपोर्ट तयार गर्नुहोस्, र त्यसपछि GitHub ले आवश्यक सूचनाहरू पठाउनेछ र समन्वित समाधानको व्यवस्था गर्नेछ। यसबाहेक, समस्या समाधान भएपछि, GitHub ले स्वचालित रूपमा कमजोर परियोजनासँग सम्बन्धित निर्भरताहरू अद्यावधिक गर्न पुल अनुरोधहरू पठाउनेछ।

GitHub ले आफ्नो साइटमा जोखिम सूची पनि थप्यो। GitHub सल्लाहकार डाटाबेस, जसले GitHub परियोजनाहरूलाई असर गर्ने कमजोरीहरूको बारेमा जानकारी र प्रभावित प्याकेजहरू र भण्डारहरू ट्र्याक गर्ने जानकारी प्रकाशित गर्दछ। GitHub मा टिप्पणीहरूमा उल्लेख गरिएका CVE पहिचानकर्ताहरू अब स्वचालित रूपमा प्रदान गरिएको डाटाबेसमा विस्तृत कमजोरी जानकारीमा लिङ्क हुन्छन्। डाटाबेससँग काम स्वचालित गर्न एक छुट्टै उपकरण प्रस्तुत गरिएको छ। एपीआई.

अपडेट पनि रिपोर्ट गरिएको छ। सेवा विरुद्ध सुरक्षा गर्न हिट सार्वजनिक रूपमा उपलब्ध भण्डारहरूमा
संवेदनशील डेटा, जस्तै प्रमाणीकरण टोकन र पहुँच कुञ्जीहरू। कमिटको समयमा, स्क्यानरले प्रयोग गरिएको विशिष्ट कुञ्जी र टोकन ढाँचाहरूको जाँच गर्दछ। २० क्लाउड प्रदायक र सेवाहरू, अलिबाबा क्लाउड, अमेजन वेब सेवाहरू (AWS), Azure, Google Cloud, Slack, र Stripe API हरू सहित। यदि टोकन पत्ता लाग्यो भने, चुहावट पुष्टि गर्न र सम्झौता गरिएका टोकनहरू रद्द गर्न सेवा प्रदायकलाई अनुरोध पठाइन्छ। हिजोदेखि, पहिले समर्थित ढाँचाहरूको अतिरिक्त, GoCardless, HashiCorp, Postman, र Tencent बाट टोकनहरू पत्ता लगाउनको लागि समर्थन थपिएको थियो।

स्रोत: opennet.ru