GitHub met het initiatief , gericht op het organiseren van samenwerking tussen beveiligingsexperts uit verschillende bedrijven en organisaties om kwetsbaarheden te identificeren en ondersteuning te bieden bij het oplossen in de code van open-source projecten.
Alle geĆÆnteresseerde bedrijven en individuele computerbeveiligingsspecialisten zijn uitgenodigd om deel te nemen aan het initiatief. Voor het identificeren van kwetsbaarheden een beloning van maximaal 3000 dollar beschikbaar, afhankelijk van de ernst van het probleem en de kwaliteit van het rapport. Voor het indienen van informatie over problemen wordt aanbevolen om de tool te gebruiken, waarmee een sjabloon van kwetsbare code kan worden gemaakt om soortgelijke kwetsbaarheden in andere projecten te identificeren (CodeQL maakt semantische code-analyse en het opstellen van verzoeken voor het zoeken naar specifieke constructies mogelijk).
Beveiligingsonderzoekers van bedrijven zoals F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber en
VMWare hebben zich al aangesloten bij het initiatief en hebben in de afgelopen twee jaar en in projecten zoals Chromium, libssh2, de Linux-kernel, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode en Hadoop.
De voorgestelde GitHub Security Code Maintenance Lifecycle houdt in dat deelnemers van GitHub Security Lab kwetsbaarheden identificeren, waarna de informatie over de problemen zal worden doorgegeven aan de maintainers en ontwikkelaars die de oplossingen zullen ontwikkelen, het tijdstip voor openbaarmaking van informatie over het probleem zullen afstemmen en afhankelijke projecten zullen informeren over de noodzaak om een versie met de oplossing voor de kwetsbaarheid te installeren. In de database zullen CodeQL-sjablonen worden geplaatst om te voorkomen dat eerder verholpen problemen opnieuw verschijnen in de aanwezige code op GitHub.
Via de GitHub-interface kan nu een CVE-identificator voor het geĆÆdentificeerde probleem worden aangemaakt en een rapport worden voorbereid, waarbij GitHub automatisch de benodigde meldingen zal verzenden en de gecoƶrdineerde oplossing zal organiseren. Bovendien, nadat het probleem is verholpen, zal GitHub automatisch pull-verzoeken sturen voor het bijwerken van de afhankelijkheden die verbonden zijn met het kwetsbare project.
GitHub heeft ook zijn eigen catalogus voor kwetsbaarheden geĆÆntroduceerd , waarin informatie wordt gepubliceerd over kwetsbaarheden die projecten op GitHub aantasten en informatie om kwetsbare pakketten en repositories te volgen. CVE-identificaties die in GitHub-commentaren worden vermeld, verwijzen nu automatisch naar gedetailleerde informatie over de kwetsbaarheid in de gepresenteerde database. Er is een aparte oplossing voorgesteld voor de automatisering van de werking met de database. .
Er wordt ook bericht over een update ter bescherming tegen vertrouwelijke gegevens in openbaar beschikbare repositories, zoals authenticatietokens en toegangssleutels. Tijdens een commit controleert de scanner op typische formaten van sleutels en tokens die worden gebruikt
door 20 cloudproviders en -diensten GitHub heeft een initiatief gelanceerd
Bron: opennet.ru
