GitHub heeft aangekondigd dat alle geauthenticeerde sessies op GitHub.com zijn gereset en dat gebruikers zich opnieuw moeten aanmelden vanwege een veiligheidsprobleem. Hoewel het probleem zeer zeldzaam voorkomt en slechts een klein aantal sessies betreft, vormt het potentieel een groot risico, omdat het een geauthenticeerde gebruiker in staat stelt toegang te krijgen tot de sessie van een andere gebruiker.
De kwetsbaarheid wordt veroorzaakt door een race-conditie tijdens het verwerken van verzoeken door de backend, wat leidt tot het doorsturen van de gebruikerssessie naar de browser van een andere gebruiker, waardoor volledige toegang tot andermans sessie-cookie mogelijk is. Naar schatting is onjuiste doorverwijzing ongeveer 0,001% van alle geauthenticeerde sessies op GitHub.com beïnvloed. Het wordt beweerd dat dergelijke doorverwijzingen zich voordeden bij toevallige samenloop van omstandigheden die niet opzettelijk door een aanvaller kunnen worden veroorzaakt. De problematische wijzigingen werden op 8 februari aangebracht en op 5 maart hersteld. Op 8 maart zijn er aanvullende controles toegevoegd met een bredere bescherming tegen dit soort fouten.
Bron: opennet.ru
