GitHub ले खुला स्रोत सफ्टवेयरमा कमजोरीहरू पहिचान गर्न संयुक्त परियोजना सुरु गर्यो

GitHub बोल्यो पहल संग GitHub सुरक्षा प्रयोगशाला, विभिन्न कम्पनीहरू र संगठनहरूका सुरक्षा विशेषज्ञहरूको सहयोगलाई व्यवस्थित गर्ने उद्देश्यले कमजोरीहरू पहिचान गर्न र तिनीहरूलाई खुला स्रोत परियोजनाहरूको कोडमा हटाउन मद्दत गर्न।

सबै इच्छुक कम्पनीहरू र व्यक्तिगत कम्प्युटर सुरक्षा विशेषज्ञहरूलाई पहलमा सामेल हुन आमन्त्रित गरिएको छ। जोखिम पहिचानको लागि प्रदान गरियो समस्याको गम्भीरता र रिपोर्टको गुणस्तरमा निर्भर गर्दै $3000 सम्मको पुरस्कारको भुक्तानी। हामी समस्या जानकारी पेश गर्न टूलकिट प्रयोग गर्न सुझाव दिन्छौं। कोडक्यूएल, जसले तपाईंलाई अन्य परियोजनाहरूको कोडमा समान जोखिमको उपस्थिति पहिचान गर्न कमजोर कोडको टेम्प्लेट उत्पन्न गर्न अनुमति दिन्छ (CodeQL ले कोडको सिमेन्टिक विश्लेषण गर्न र निश्चित संरचनाहरूको खोजी गर्न प्रश्नहरू उत्पन्न गर्न सम्भव बनाउँछ)।

F5, Google, HackerOne, Intel, IOActive, J.P का सुरक्षा अनुसन्धानकर्ताहरू पहिले नै पहलमा सामेल भइसकेका छन्। मोर्गन, लिंक्डइन, माइक्रोसफ्ट, मोजिला, एनसीसी ग्रुप, ओरेकल, ट्रेल अफ बिट्स, उबर र
VMWare, जुन विगत दुई वर्षमा खुलासा и मलाई यसलाई ठीक गर्न मद्दत गर्यो क्रोमियम, libssh105, Linux कर्नेल, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, StrongSpagn, Icecast, Apache Struts जस्ता परियोजनाहरूमा 2 जोखिमहरू , Apache Geode र Hadoop।

GitHub को प्रस्तावित कोड सुरक्षा जीवनचक्रमा GitHub सुरक्षा ल्याब सदस्यहरूले कमजोरीहरू पहिचान गर्ने समावेश गर्दछ, जसलाई त्यसपछि मर्मतकर्ताहरू र विकासकर्ताहरूलाई सूचित गरिनेछ, जसले समाधानहरू विकास गर्नेछन्, समस्या खुलासा गर्ने समय समन्वय गर्नेछ, र निर्भर परियोजनाहरूलाई संस्करण स्थापना गर्न सूचित गर्नेछ। GitHub मा अवस्थित कोडमा समाधान गरिएका समस्याहरूको पुन: उपस्थिति रोक्नको लागि डाटाबेसले CodeQL टेम्प्लेटहरू समावेश गर्दछ।

GitHub इन्टरफेस मार्फत तपाईं अब सक्नुहुन्छ प्राप्त गर्नु पहिचान गरिएको समस्याको लागि CVE पहिचानकर्ता र रिपोर्ट तयार गर्नुहोस्, र GitHub ले आवश्यक सूचनाहरू पठाउनेछ र तिनीहरूको समन्वयित सुधार व्यवस्थित गर्नेछ। यसबाहेक, एक पटक समस्या समाधान भएपछि, GitHub ले स्वचालित रूपमा प्रभावित परियोजनासँग सम्बन्धित निर्भरताहरू अद्यावधिक गर्न पुल अनुरोधहरू पेश गर्नेछ।

GitHub ले कमजोरीहरूको सूची पनि थपेको छ GitHub सल्लाहकार डाटाबेस, जसले GitHub मा परियोजनाहरूलाई असर गर्ने कमजोरीहरू र प्रभावित प्याकेजहरू र भण्डारहरू ट्र्याक गर्न जानकारी प्रकाशित गर्दछ। GitHub मा टिप्पणीहरूमा उल्लेख गरिएका CVE पहिचानकर्ताहरू अब स्वचालित रूपमा पेश गरिएको डाटाबेसमा भेद्यताको बारेमा विस्तृत जानकारीमा लिङ्क हुन्छन्। डाटाबेस संग काम स्वचालित गर्न, एक अलग एपीआई.

अपडेट पनि जानकारी गराइन्छ सेवा विरुद्ध सुरक्षा गर्न हिट सार्वजनिक रूपमा पहुँचयोग्य भण्डारहरूमा
प्रमाणीकरण टोकन र पहुँच कुञ्जीहरू जस्ता संवेदनशील डेटा। कमिटको समयमा, स्क्यानरले प्रयोग गरिएको विशिष्ट कुञ्जी र टोकन ढाँचाहरू जाँच गर्दछ 20 क्लाउड प्रदायक र सेवाहरू, Alibaba Cloud API, Amazon Web Services (AWS), Azure, Google Cloud, Slack र Stripe सहित। यदि टोकन पहिचान गरिएको छ भने, चुहावट पुष्टि गर्न र सम्झौता टोकनहरू रद्द गर्न सेवा प्रदायकलाई अनुरोध पठाइन्छ। हिजो सम्म, पहिले समर्थित ढाँचाहरूको अतिरिक्त, GoCardless, HashiCorp, Postman र Tencent टोकनहरू परिभाषित गर्न समर्थन थपिएको छ।

स्रोत: opennet.ru