O GitHub revelou informações sobre uma vulnerabilidade que permite o acesso ao conteúdo de variáveis de ambiente expostas em contêineres usados na infraestrutura de produção. A vulnerabilidade foi identificada por um participante do programa Bug Bounty, que se candidatou a uma recompensa por encontrar problemas de segurança. O problema afeta tanto o serviço GitHub.com quanto as configurações do GitHub Enterprise Server (GHES) executadas em sistemas de usuários.
A análise de logs e a auditoria da infraestrutura não revelaram vestígios da exploração da vulnerabilidade no passado, exceto pela atividade do pesquisador que reportou o problema. No entanto, uma troca de todas as chaves de criptografia e credenciais que poderiam estar potencialmente comprometidas foi iniciada na infraestrutura, em caso de exploração da vulnerabilidade por um invasor. A troca das chaves internas resultou na interrupção de alguns serviços entre 27 e 29 de dezembro. Os administradores do GitHub tentaram considerar os erros cometidos na atualização de ontem das chaves que afetam os clientes.
Entre outras atualizações, a chave GPG usada para assinar digitalmente os commits feitos pelo editor web do GitHub ao aceitar pull requests no site ou pelo conjunto de ferramentas do Codespace foi atualizada. A antiga chave deixou de ser válida em 16 de janeiro às 23 horas, horário de Moscovo, e em seu lugar um novo chave passou a ser aplicada desde ontem. A partir de 23 de janeiro, todos os novos commits assinados pela chave anterior não serão marcados no site do GitHub como verificados.
Em 16 de janeiro, também foram atualizadas as chaves públicas usadas para criptografar os dados do usuário enviados através da API no GitHub Actions, GitHub Codespaces e Dependabot. Os usuários que utilizam chaves públicas pertencentes ao GitHub para validação local de commits e para criptografar dados transmitidos são aconselhados a garantir que tenham atualizado suas chaves GPG do GitHub e que seus sistemas continuem funcionando após a troca das chaves.
A empresa GitHub já corrigiu a vulnerabilidade no site GitHub.com e lançou uma atualização do produto GHES 3.8.13, 3.9.8, 3.10.5 e 3.11.3, que inclui a correção da CVE-2024-0200 (uso inseguro de reflexões que leva à execução de código ou métodos controlados pelo usuário no lado do servidor). servidor). Um ataque a instalações locais do GHES poderia ser realizado por um invasor com uma conta com direitos de gerenciamento da organização (proprietário da organização).
Fonte: opennet.ru
