GitHub ਨੇ ਵਾਤਾਵਰਨ ਵੇਰੀਏਬਲ ਲੀਕ ਕਮਜ਼ੋਰੀ ਦੇ ਕਾਰਨ GPG ਕੁੰਜੀਆਂ ਨੂੰ ਅਪਡੇਟ ਕੀਤਾ ਹੈ

GitHub ਨੇ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ ਜੋ ਉਤਪਾਦਨ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਕੰਟੇਨਰਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਕੀਤੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੀ ਸਮੱਗਰੀ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਨੂੰ ਲੱਭਣ ਲਈ ਇਨਾਮ ਦੀ ਮੰਗ ਕਰਨ ਵਾਲੇ ਬੱਗ ਬਾਉਂਟੀ ਭਾਗੀਦਾਰ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ। ਇਹ ਮੁੱਦਾ ਉਪਭੋਗਤਾ ਸਿਸਟਮਾਂ 'ਤੇ ਚੱਲ ਰਹੀ GitHub.com ਸੇਵਾ ਅਤੇ GitHub ਐਂਟਰਪ੍ਰਾਈਜ਼ ਸਰਵਰ (GHES) ਸੰਰਚਨਾ ਦੋਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ।

ਲੌਗਸ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਆਡਿਟ ਨੇ ਸਮੱਸਿਆ ਦੀ ਰਿਪੋਰਟ ਕਰਨ ਵਾਲੇ ਖੋਜਕਰਤਾ ਦੀ ਗਤੀਵਿਧੀ ਨੂੰ ਛੱਡ ਕੇ ਅਤੀਤ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਦੇ ਸ਼ੋਸ਼ਣ ਦੇ ਕਿਸੇ ਵੀ ਨਿਸ਼ਾਨ ਨੂੰ ਪ੍ਰਗਟ ਨਹੀਂ ਕੀਤਾ। ਹਾਲਾਂਕਿ, ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸਾਰੀਆਂ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਬਦਲਣ ਲਈ ਸ਼ੁਰੂ ਕੀਤਾ ਗਿਆ ਸੀ ਜਿਨ੍ਹਾਂ ਨਾਲ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਸਮਝੌਤਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਕਿਸੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ ਸੀ। ਅੰਦਰੂਨੀ ਕੁੰਜੀਆਂ ਨੂੰ ਬਦਲਣ ਨਾਲ 27 ਤੋਂ 29 ਦਸੰਬਰ ਤੱਕ ਕੁਝ ਸੇਵਾਵਾਂ ਵਿੱਚ ਵਿਘਨ ਪਿਆ। GitHub ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੇ ਕੱਲ੍ਹ ਕੀਤੇ ਗਏ ਗਾਹਕਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਵਾਲੀਆਂ ਕੁੰਜੀਆਂ ਦੇ ਅਪਡੇਟ ਦੌਰਾਨ ਕੀਤੀਆਂ ਗਲਤੀਆਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ।

ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਸਾਈਟ 'ਤੇ ਜਾਂ ਕੋਡਸਪੇਸ ਟੂਲਕਿੱਟ ਦੁਆਰਾ ਪੁੱਲ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਵੇਲੇ GitHub ਵੈੱਬ ਸੰਪਾਦਕ ਦੁਆਰਾ ਬਣਾਏ ਗਏ ਕਮਿਟਾਂ ਨੂੰ ਡਿਜੀਟਲ ਤੌਰ 'ਤੇ ਸਾਈਨ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ GPG ਕੁੰਜੀ ਨੂੰ ਅਪਡੇਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਪੁਰਾਣੀ ਕੁੰਜੀ 16 ਜਨਵਰੀ ਨੂੰ ਮਾਸਕੋ ਦੇ ਸਮੇਂ ਅਨੁਸਾਰ 23:23 ਵਜੇ ਵੈਧ ਹੋਣੀ ਬੰਦ ਹੋ ਗਈ ਸੀ, ਅਤੇ ਕੱਲ੍ਹ ਤੋਂ ਇਸਦੀ ਬਜਾਏ ਇੱਕ ਨਵੀਂ ਕੁੰਜੀ ਵਰਤੀ ਗਈ ਹੈ। XNUMX ਜਨਵਰੀ ਤੋਂ, ਪਿਛਲੀ ਕੁੰਜੀ ਨਾਲ ਹਸਤਾਖਰ ਕੀਤੇ ਸਾਰੇ ਨਵੇਂ ਕਮਿਟਾਂ ਨੂੰ ਗਿੱਟਹੱਬ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਵਜੋਂ ਮਾਰਕ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ।

16 ਜਨਵਰੀ ਨੂੰ ਏਪੀਆਈ ਦੁਆਰਾ GitHub ਐਕਸ਼ਨ, GitHub ਕੋਡਸਪੇਸ, ਅਤੇ ਡਿਪੈਂਡਾਬੋਟ ਨੂੰ ਭੇਜੇ ਗਏ ਉਪਭੋਗਤਾ ਡੇਟਾ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਜਨਤਕ ਕੁੰਜੀਆਂ ਨੂੰ ਵੀ ਅਪਡੇਟ ਕੀਤਾ। ਉਪਭੋਗਤਾ ਜੋ GitHub ਦੀ ਮਲਕੀਅਤ ਵਾਲੀਆਂ ਜਨਤਕ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਕਮਿਟਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਅਤੇ ਟ੍ਰਾਂਜ਼ਿਟ ਵਿੱਚ ਡੇਟਾ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਉਹਨਾਂ ਨੂੰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਹਨਾਂ ਨੇ ਆਪਣੀਆਂ GitHub GPG ਕੁੰਜੀਆਂ ਨੂੰ ਅਪਡੇਟ ਕੀਤਾ ਹੈ ਤਾਂ ਜੋ ਕੁੰਜੀਆਂ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਉਹਨਾਂ ਦੇ ਸਿਸਟਮ ਕੰਮ ਕਰਦੇ ਰਹਿਣ।

GitHub ਨੇ ਪਹਿਲਾਂ ਹੀ GitHub.com 'ਤੇ ਕਮਜ਼ੋਰੀ ਨੂੰ ਫਿਕਸ ਕਰ ਦਿੱਤਾ ਹੈ ਅਤੇ GHES 3.8.13, 3.9.8, 3.10.5 ਅਤੇ 3.11.3 ਲਈ ਇੱਕ ਉਤਪਾਦ ਅਪਡੇਟ ਜਾਰੀ ਕੀਤਾ ਹੈ, ਜਿਸ ਵਿੱਚ CVE-2024-0200 ਲਈ ਇੱਕ ਫਿਕਸ ਸ਼ਾਮਲ ਹੈ (ਜਿਸ ਨਾਲ ਪ੍ਰਤੀਬਿੰਬਾਂ ਦੀ ਅਸੁਰੱਖਿਅਤ ਵਰਤੋਂ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਜਾਂ ਸਰਵਰ ਸਾਈਡ 'ਤੇ ਉਪਭੋਗਤਾ-ਨਿਯੰਤਰਿਤ ਢੰਗ)। ਸਥਾਨਕ GHES ਸਥਾਪਨਾਵਾਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਹਮਲਾਵਰ ਦਾ ਸੰਗਠਨ ਮਾਲਕ ਅਧਿਕਾਰਾਂ ਵਾਲਾ ਖਾਤਾ ਸੀ।

ਸਰੋਤ: opennet.ru