Github döndürülmüş anahtarlar, Aralık ayında saldırganların çevre değişkenleri aracılığıyla üretim kapları içindeki kimlik bilgilerine erişmesine izin verebilecek bir güvenlik açığı tarafından maruz bırakıldı.
Bu güvenli olmayan yansıma güvenlik açığı (CVE-2024-0200 olarak izlenir), saldırganların eşleştirilmemiş sunucularda uzaktan kod yürütülmesine izin verebilir.
Ayrıca Salı günü Github Enterprise Server (GHES) sürümlerinde 3.8.13, 3.9.8, 3.10.5 ve 3.11.3 sürümlerinde yamalandı ve şirket tüm müşterileri mümkün olan en kısa sürede güvenlik güncellemesini yüklemeye çağırdı.
Tehdit aktörlerinin, kimlik bilgileri de dahil olmak üzere bir üretim konteynerinin çevre değişkenlerine erişmesine izin verirken, başarılı sömürü bir kuruluş sahibi rolü ile kimlik doğrulaması gerektirir (kuruluşa yönetici erişimi ile).
"26 Aralık 2023'te Github, Böcek Ödül Programımız aracılığıyla, istismarsa, bir üretim konteyneri içindeki kimlik bilgilerine erişime izin veren bir güvenlik açığı gösteren bir rapor aldı. Github.com'daki bu güvenlik açığını aynı gün düzelttik ve potansiyel olarak maruz kalan tümleri döndürmeye başladık. Github Başkan Yardımcısı ve güvenlik görevlisi Jacob Intomriest Başkan Yardımcısı "dedi.
Diyerek şöyle devam etti: "Tam bir soruşturma yürüttükten sonra, bu sorunun benzersizliğine ve telemetri ve günlüğümüzün analizine dayanarak, bu kırılganlığın daha önce bulunamadığını ve sömürülmediğini değerlendiriyoruz."
Kuruluş sahibi rol gereksinimi önemli bir hafifletici faktör olmakla ve güvenlik açığının etkisi, Github'ın hata ödül programı aracılığıyla sorunu bulan ve bildiren araştırmacı ile sınırlı olsa da, DEHİMİ, kimlik bilgilerinin güvenlik prosedürlerine göre döndüğünü ve "bol miktarda bol miktarda döndürüldüğünü söylüyor. Dikkat."
GitHub tarafından Aralık ayında döndürülen anahtarların çoğu müşteri eylemi gerektirmemesine rağmen, GitHub'ın taahhütü imzalama anahtarı ve GitHub eylemleri, GitHub kod taşımacıları ve Müşteri Şifreleme anahtarlarını kullananlar yeni genel anahtarları içe aktarmak zorunda kalacaktır.
Deal, "GitHub'dan en güncel verileri kullandığınızdan emin olmak için API'dan düzenli olarak genel anahtarları çekmenizi şiddetle tavsiye ediyoruz. Bu da gelecekte yeni anahtarların sorunsuz bir şekilde benimsenmesine izin verecektir." Dedi.
GitHub ayrıca, ayrıcalıkları artırmak için bir düzenleyici rolü olan bir yönetim konsolu kullanıcı hesabı kullanmalarına izin verecek ikinci bir Yüksek Teslim Enterprise Server komut enjeksiyon güvenlik açığı (CVE-2024-0507) düzeltti.
Bu, şirketin geçen yıl maruz kalan veya çalınan sırları ilk kez döndürmek veya iptal etmek zorunda kalmadı.
Örneğin, Github.com özel SSH anahtarını, yanlışlıkla ve "kısaca" halka açık bir GitHub deposu aracılığıyla "kısaca" maruz kaldıktan sonra RSA kullanarak SSH üzerindeki git işlemlerini etkiledikten sonra da döndürdü.
Olay, şirketin API anahtarlarını, hesap şifrelerini, kimlik doğrulama jetonlarını ve diğer gizli veri uyarılarını desteklediği için maruz kalan anahtarı yakalaması gereken tüm kamu depoları için sır taramaya başlamasından haftalar sonra meydana geldi.
Aylar önce, Github, bilinmeyen saldırganlar şirketin Aralık 2022'de geliştirme ve sürüm planlama depolarını ihlal ettikten sonra onları çaldıktan sonra masaüstü ve atom uygulamaları için kod imzalama sertifikalarını iptal etmek zorunda kaldı.
Active Directory'nizi bu şifre tabanlı güvenlik açıklarından koruyun
Microsoft, Rus bilgisayar korsanlarının NATO hedefleri üzerindeki operasyonunu bozuyor
AMD, Apple, Qualcomm GPUS Leak AI verileri Lontoverlocals saldırılarında
Pixiefail Kusurlar Enterprise Systems'ta PXE Network Boot Etkisi
Atlassian, eski Confluence sürümlerinde kritik RCE kusurunu uyarıyor
Kaynak: Bleeping Computer