GitHub har avslöjat information om en sÄrbarhet som gör det möjligt att fÄ tillgÄng till innehÄllet i miljövariabler som anvÀnds i containrar i arbetsinfrastrukturen. SÄrbarheten identifierades av en deltagare i programmet Bug Bounty, som Àr berÀttigad till belöning för att hitta sÀkerhetsproblem. Problemet pÄverkar bÄde tjÀnsten GitHub.com och konfigurationer av GitHub Enterprise Server (GHES) som körs pÄ anvÀndarsystem.
Analys av loggar och granskning av infrastrukturen har inte visat nÄgra tecken pÄ utnyttjande av sÄrbarheten tidigare förutom aktiviteten frÄn forskaren som rapporterade problemet. Trots detta har infrastrukturen genomfört en ersÀttning av alla krypteringsnycklar och autentiseringsuppgifter som kan ha potentiellt blivit komprometterade vid ett utnyttjande av sÄrbarheten av en angripare. ErsÀttningen av interna nycklar ledde till driftstörningar för vissa tjÀnster mellan 27 och 29 december. Administratörer pÄ GitHub har försökt att ta hÀnsyn till de misstag som gjorts vid gÄrdagens uppdatering av nycklar som pÄverkar kunder.
Bland annat har GPG-nyckeln, som anvÀnds för att certifiera den digitala signaturen av commits som skapats via GitHubs webbredigerare vid godkÀnnande av pull-förfrÄgningar pÄ webbplatsen eller via verktyget Codespace, uppdaterats. Den gamla nyckeln upphörde att gÀlla den 16 januari klockan 23:00 Moskvatid, och istÀllet anvÀnds en ny nyckel sedan igÄr. FrÄn och med den 23 januari kommer alla nya commits som signeras med den gamla nyckeln inte att markeras som verifierade pÄ GitHub-webbplatsen.
Den 16 januari uppdaterades ocksÄ de offentliga nycklar som anvÀnds för att kryptera anvÀndardata som skickas via API till GitHub Actions, GitHub Codespaces och Dependabot. AnvÀndare som anvÀnder GitHubs offentliga nycklar för lokal verifiering av commits och kryptering av överförd data rekommenderas att sÀkerstÀlla att de har uppdaterat GitHubs GPG-nycklar och att deras system fortsÀtter att fungera efter nyckelarbetet.
GitHub har redan ÄtgÀrdat sÄrbarheten pÄ GitHub.com och slÀppt en produktuppdatering för GHES 3.8.13, 3.9.8, 3.10.5 och 3.11.3, dÀr korrigering för CVE-2024-0200 (osÀker anvÀndning av reflektioner som leder till kodexekvering eller anvÀndardefinierade metoder pÄ serversidan) noteras. servern). En attack mot lokala installationer av GHES kan ha utförts om angriparen hade ett konto med rÀttigheter att hantera organisationen (organisationens Àgare).
KĂ€lla: opennet.ru
