GitHub ਨੇ ਓਪਨ ਸੋਰਸ ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇੱਕ ਸਾਂਝਾ ਪ੍ਰੋਜੈਕਟ ਲਾਂਚ ਕੀਤਾ

GitHub ਬੋਲਿਆ ਪਹਿਲਕਦਮੀ ਦੇ ਨਾਲ GitHub ਸੁਰੱਖਿਆ ਲੈਬ, ਓਪਨ ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਕੋਡ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਖਤਮ ਕਰਨ ਵਿੱਚ ਸਹਾਇਤਾ ਕਰਨ ਲਈ ਵੱਖ-ਵੱਖ ਕੰਪਨੀਆਂ ਅਤੇ ਸੰਸਥਾਵਾਂ ਦੇ ਸੁਰੱਖਿਆ ਮਾਹਰਾਂ ਦੇ ਸਹਿਯੋਗ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਦਾ ਉਦੇਸ਼ ਹੈ।

ਸਾਰੀਆਂ ਦਿਲਚਸਪੀ ਰੱਖਣ ਵਾਲੀਆਂ ਕੰਪਨੀਆਂ ਅਤੇ ਵਿਅਕਤੀਗਤ ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਮਾਹਿਰਾਂ ਨੂੰ ਪਹਿਲ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਣ ਲਈ ਸੱਦਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਪ੍ਰਦਾਨ ਕੀਤਾ ਸਮੱਸਿਆ ਦੀ ਗੰਭੀਰਤਾ ਅਤੇ ਰਿਪੋਰਟ ਦੀ ਗੁਣਵੱਤਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ, $3000 ਤੱਕ ਦੇ ਇਨਾਮ ਦਾ ਭੁਗਤਾਨ। ਅਸੀਂ ਸਮੱਸਿਆ ਦੀ ਜਾਣਕਾਰੀ ਦਰਜ ਕਰਨ ਲਈ ਟੂਲਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਸੁਝਾਅ ਦਿੰਦੇ ਹਾਂ। ਕੋਡQL, ਜੋ ਤੁਹਾਨੂੰ ਦੂਜੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਕੋਡ ਵਿੱਚ ਇੱਕ ਸਮਾਨ ਕਮਜ਼ੋਰੀ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਕਮਜ਼ੋਰ ਕੋਡ ਦਾ ਇੱਕ ਟੈਂਪਲੇਟ ਤਿਆਰ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (CodeQL ਕੋਡ ਦਾ ਅਰਥਗਤ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਕੁਝ ਢਾਂਚਿਆਂ ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਸਵਾਲ ਪੈਦਾ ਕਰਦਾ ਹੈ)।

F5, Google, HackerOne, Intel, IOActive, JP Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber ਅਤੇ
VMWare, ਜੋ ਪਿਛਲੇ ਦੋ ਸਾਲਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਕੀਤਾ и ਇਸ ਨੂੰ ਠੀਕ ਕਰਨ ਵਿੱਚ ਮੇਰੀ ਮਦਦ ਕੀਤੀ ਕ੍ਰੋਮਿਅਮ, libssh105, Linux ਕਰਨਲ, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongspachelogs, Icecast ਵਰਗੇ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ 2 ਕਮਜ਼ੋਰੀਆਂ , Apache Geode ਅਤੇ Hadoop.

GitHub ਦੇ ਪ੍ਰਸਤਾਵਿਤ ਕੋਡ ਸੁਰੱਖਿਆ ਜੀਵਨ-ਚੱਕਰ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਵਾਲੇ GitHub ਸੁਰੱਖਿਆ ਲੈਬ ਦੇ ਮੈਂਬਰ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਜੋ ਫਿਰ ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲਿਆਂ ਅਤੇ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਸੂਚਿਤ ਕੀਤਾ ਜਾਵੇਗਾ, ਜੋ ਫਿਕਸ ਵਿਕਸਿਤ ਕਰਨਗੇ, ਮੁੱਦੇ ਦਾ ਖੁਲਾਸਾ ਕਰਨ ਲਈ ਤਾਲਮੇਲ ਕਰਨਗੇ, ਅਤੇ ਸੰਸਕਰਣ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਲਈ ਨਿਰਭਰ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਸੂਚਿਤ ਕਰਨਗੇ। ਡੇਟਾਬੇਸ ਵਿੱਚ GitHub 'ਤੇ ਮੌਜੂਦ ਕੋਡ ਵਿੱਚ ਹੱਲ ਕੀਤੀਆਂ ਸਮੱਸਿਆਵਾਂ ਦੇ ਮੁੜ ਪ੍ਰਗਟ ਹੋਣ ਤੋਂ ਰੋਕਣ ਲਈ CodeQL ਟੈਂਪਲੇਟ ਸ਼ਾਮਲ ਹੋਣਗੇ।

GitHub ਇੰਟਰਫੇਸ ਦੁਆਰਾ ਤੁਸੀਂ ਹੁਣ ਕਰ ਸਕਦੇ ਹੋ ਪ੍ਰਾਪਤ ਕਰੋ ਪਛਾਣੀ ਗਈ ਸਮੱਸਿਆ ਲਈ CVE ਪਛਾਣਕਰਤਾ ਅਤੇ ਇੱਕ ਰਿਪੋਰਟ ਤਿਆਰ ਕਰੋ, ਅਤੇ GitHub ਖੁਦ ਲੋੜੀਂਦੀਆਂ ਸੂਚਨਾਵਾਂ ਭੇਜੇਗਾ ਅਤੇ ਉਹਨਾਂ ਦੇ ਤਾਲਮੇਲ ਵਾਲੇ ਸੁਧਾਰ ਨੂੰ ਸੰਗਠਿਤ ਕਰੇਗਾ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇੱਕ ਵਾਰ ਮੁੱਦਾ ਹੱਲ ਹੋ ਜਾਣ ਤੋਂ ਬਾਅਦ, GitHub ਪ੍ਰਭਾਵਿਤ ਪ੍ਰੋਜੈਕਟ ਨਾਲ ਜੁੜੀਆਂ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਲਈ ਆਪਣੇ ਆਪ ਪੁੱਲ ਬੇਨਤੀਆਂ ਜਮ੍ਹਾਂ ਕਰ ਦੇਵੇਗਾ।

GitHub ਨੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਇੱਕ ਸੂਚੀ ਵੀ ਸ਼ਾਮਲ ਕੀਤੀ ਹੈ GitHub ਸਲਾਹਕਾਰ ਡਾਟਾਬੇਸ, ਜੋ GitHub 'ਤੇ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਵਾਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਅਤੇ ਪ੍ਰਭਾਵਿਤ ਪੈਕੇਜਾਂ ਅਤੇ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਟਰੈਕ ਕਰਨ ਲਈ ਜਾਣਕਾਰੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। GitHub 'ਤੇ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤੇ CVE ਪਛਾਣਕਰਤਾ ਹੁਣ ਸਪੁਰਦ ਕੀਤੇ ਡੇਟਾਬੇਸ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਨਾਲ ਆਪਣੇ ਆਪ ਲਿੰਕ ਹੋ ਜਾਂਦੇ ਹਨ। ਡਾਟਾਬੇਸ ਦੇ ਨਾਲ ਕੰਮ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰਨ ਲਈ, ਇੱਕ ਵੱਖਰਾ API.

ਅਪਡੇਟ ਦੀ ਵੀ ਸੂਚਨਾ ਦਿੱਤੀ ਗਈ ਹੈ ਸੇਵਾ ਦੇ ਵਿਰੁੱਧ ਰੱਖਿਆ ਕਰਨ ਲਈ ਹਿੱਟ ਜਨਤਕ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਰਿਪੋਜ਼ਟਰੀਆਂ ਲਈ
ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਜਿਵੇਂ ਕਿ ਪ੍ਰਮਾਣਿਕਤਾ ਟੋਕਨ ਅਤੇ ਐਕਸੈਸ ਕੁੰਜੀਆਂ। ਇੱਕ ਵਚਨਬੱਧਤਾ ਦੇ ਦੌਰਾਨ, ਸਕੈਨਰ ਵਰਤੇ ਗਏ ਖਾਸ ਕੁੰਜੀ ਅਤੇ ਟੋਕਨ ਫਾਰਮੈਟਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ 20 ਕਲਾਉਡ ਪ੍ਰਦਾਤਾ ਅਤੇ ਸੇਵਾਵਾਂ, ਜਿਸ ਵਿੱਚ ਅਲੀਬਾਬਾ ਕਲਾਊਡ API, Amazon Web Services (AWS), Azure, Google Cloud, Slack ਅਤੇ Stripe ਸ਼ਾਮਲ ਹਨ। ਜੇਕਰ ਇੱਕ ਟੋਕਨ ਦੀ ਪਛਾਣ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਸੇਵਾ ਪ੍ਰਦਾਤਾ ਨੂੰ ਲੀਕ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ ਸਮਝੌਤਾ ਕੀਤੇ ਟੋਕਨਾਂ ਨੂੰ ਰੱਦ ਕਰਨ ਲਈ ਇੱਕ ਬੇਨਤੀ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਕੱਲ੍ਹ ਤੱਕ, ਪਹਿਲਾਂ ਸਮਰਥਿਤ ਫਾਰਮੈਟਾਂ ਤੋਂ ਇਲਾਵਾ, GoCardless, HashiCorp, Postman ਅਤੇ Tencent ਟੋਕਨਾਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru