GitHub com a iniciativa , destinada a organizar a colaboração entre especialistas em segurança de várias empresas e organizações para identificar vulnerabilidades e ajudar na sua correção em códigos de projetos abertos.
Todas as empresas interessadas e especialistas individuais em segurança da informação são convidados a se juntar à iniciativa. Para a identificação de vulnerabilidades uma recompensa de até 3000 dólares, dependendo da gravidade do problema e da qualidade do relatório. Para enviar informações sobre problemas, é sugerido o uso da ferramenta , que permite criar um modelo de código vulnerável para verificar a presença de vulnerabilidades similares em outros projetos (CodeQL possibilita a realização de análises semânticas de código e a criação de consultas para buscar determinadas estruturas).
Pesquisadores de segurança de empresas como F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber e
VMWare já se juntaram à iniciativa e, nos últimos dois anos, e 105 vulnerabilidades em projetos como Chromium, libssh2, núcleo Linux, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode e Hadoop.
O ciclo de vida de segurança do código proposto no GitHub prevê que os participantes do GitHub Security Lab identifiquem vulnerabilidades, após o que as informações sobre os problemas serão comunicadas aos mantenedores e desenvolvedores, que trabalharão nas correções, acordarão o prazo para divulgação das informações sobre o problema e informarão os projetos dependentes sobre a necessidade de instalar a versão que corrige a vulnerabilidade. A base conterá modelos CodeQL que ajudarão a evitar o reaparecimento de problemas já resolvidos no código presente no GitHub.
Através da interface do GitHub, agora é possível obter um identificador CVE para o problema identificado e preparar um relatório, enquanto o GitHub se encarregará de enviar as notificações necessárias e organizar sua correção coordenada. Além disso, após a correção do problema, o GitHub enviará automaticamente pull requests para atualizar as dependências relacionadas ao projeto vulnerável.
O GitHub também introduziu um catálogo de vulnerabilidades , que publica informações sobre vulnerabilidades afetando projetos no GitHub, e dados para rastrear pacotes e repositórios vulneráveis. Os identificadores CVE mencionados nos comentários do GitHub agora referenciam automaticamente detalhes sobre a vulnerabilidade na base de dados apresentada. Para automatizar o trabalho com a base de dados, foi proposta uma separada .
também há um relatório sobre a atualização para proteção contra em repositórios publicamente acessíveis
dados confidenciais, como tokens de autenticação e chaves de acesso. Durante o commit, o scanner verifica os formatos típicos de chaves e tokens utilizados , incluindo API Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack e Stripe. No caso de um token ser identificado, uma solicitação é enviada ao provedor de serviço para confirmar a violação e revogar os tokens comprometidos. Desde ontem, além dos formatos anteriormente suportados, foi adiciona a suporte à identificação de tokens GoCardless, HashiCorp, Postman e Tencent.
Fonte: opennet.ru
