GitHub har lanserat ett samarbetsprojekt för att identifiera sårbarheter i öppen källkod.

GitHub talade med initiativet GitHub Security Lab, med fokus på att organisera samarbete mellan säkerhetsexperter från olika företag och organisationer för att identifiera sårbarheter och hjälpa till med deras lösning i koden för öppna projekt.

Alla intresserade företag och individuella datorsäkerhetsspecialister inbjuds att delta i initiativet. För att identifiera sårbarheten erbjuds ett belopp på upp till 3000 dollar, beroende på hur allvarligt problemet är och kvaliteten på rapporten. För att rapportera problem rekommenderas att använda verktyget CodeQL, som gör det möjligt att skapa en mall för sårbar kod för att identifiera liknande sårbarheter i kod från andra projekt (CodeQL gör det möjligt att utföra semantisk kodanalys och formulera frågor för att söka efter specifika konstruktioner).

Initiativet har redan fått stöd av säkerhetsforskare från företag som F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber och
VMWare, som under de senaste två åren har upptäckt och har hjälpt till att åtgärda 105 sårbarheter i projekt som Chromium, libssh2, Linux-kärnan, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode och Hadoop.

Den föreslagna livscykeln för kodsäkerhet underhålls av GitHub innebär att deltagarna i GitHub Security Lab kommer att identifiera sårbarheter, efter vilken information om problemen kommer att överlämnas till underhållare och utvecklare, som kommer att arbeta fram lösningar, bestämma tidsramar för offentliggörande av probleminformation och informera beroende projekt om behovet av att installera versioner med åtgärdade sårbarheter. I databasen kommer CodeQL-mallar att publiceras för att förhindra upprepade problem i koden på GitHub.

Genom GitHub:s gränssnitt kan man nu få CVE-ID för det identifierade problemet och förbereda en rapport, och GitHub kommer självt att skicka nödvändiga aviseringar och organisera deras samordnade åtgärd. Dessutom, efter att problemet har lösts, kommer GitHub automatiskt att skicka pull-förfrågningar för att uppdatera beroenden kopplade till det sårbara projektet.

GitHub har också lagt till i katalogen över sårbarheter GitHub Advisory Database, där information om sårbarheter som påverkar projekt på GitHub publiceras, samt information för att spåra påverkan på paket och förråd. CVE-id som nämns i kommentarer på GitHub länkas nu automatiskt till detaljerad information om sårbarheten i den presenterade databasen. För att automatisera arbetet med databasen föreslogs en separat API.

Det rapporteras också om en uppdatering tjänsten för att skydda mot läckage av i offentligt tillgängliga förråd
av känslig information, såsom autentiseringstoken och åtkomstnycklar. Under commit-processen kontrollerar skannern typiska format för nycklar och token som används av 20 molnleverantörer och tjänster, inklusive API:er för Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack och Stripe. Om en token upptäckts skickas en förfrågan till tjänsteleverantören för att bekräfta läckan och återkalla de komprometterade token. Från och med igår, utöver de tidigare stödda formaten, har stöd för identifiering av token från GoCardless, HashiCorp, Postman och Tencent lagts till.

Källa: opennet.ru