При эксплуатации эти недостатки могут позволить злоумышленникам получить несанкционированный доступ к конфиденциальной информации или вообще вызвать проблемы.
Несколько дней назад GitHub в своем блоге раскрыл подробности об уязвимости , позволяющей получить доступ к содержимому переменных окружения, используемых в контейнерах, применяемых в производственной инфраструктуре компании.
Уязвимость была обнаружена участником программы Bug Bounty, предназначенной для поиска проблем безопасности и вознаграждения исследователей за их обнаружение. Эта проблема затрагивает как сам сервис GitHub, так и конфигурации GitHub Enterprise Server (GHES) , работающие в системах пользователей.
Уязвимость безопасности, занесенная в каталог CVE-2024-0200 с высоким уровнем серьезности 7.2 (CVSS), не была использована злоумышленниками в реальных условиях. Анализ журналов и аудит инфраструктуры не выявили никаких признаков эксплуатации в прошлом, за исключением активности исследователя, сообщившего о проблеме. Однако в качестве превентивной меры были заменены все ключи шифрования и учетные данные, которые могли быть скомпрометированы.
Упоминается, что уязвимость затрагивает GitHub Enterprise Server (GHES), но для её использования требуется авторизованный пользователь с ролью владельца организации, который должен войти в свою учетную запись на экземпляре GHES, что ограничивает возможности для эксплуатации.
Эта уязвимость также присутствует в GitHub Enterprise Server (GHES). Однако эксплойт требует, чтобы аутентифицированный пользователь с ролью владельца организации вошел в учетную запись на экземпляре GHES, что является важным набором смягчающих обстоятельств для потенциального эксплойта. Патч доступен сегодня, 16 января 2024 г., для версий GHES 3.8.13, 3.9.8, 3.10.5 и 3.11.3. Мы рекомендуем клиентам GHES установить исправление как можно скорее.
Отток учетных данных в наших производственных системах вызвал серию сбоев в обслуживании в период с 27 по 29 декабря. Мы осознаем влияние, которое они оказали на наших клиентов, которые полагаются на GitHub, и улучшили наши процедуры ротации учетных данных, чтобы снизить риск незапланированных простоев в будущем.
Стоит отметить, что уязвимость была исправлена на GitHub, и выпущено обновление продукта для GHES 3.8.13, 3.9.8, 3.10.5 и 3.11.3. GitHub охарактеризовал уязвимость в GHES как случай «небезопасного использования рефлексии», который создает риски внедрения рефлексии и удаленного выполнения кода (поскольку этот тип уязвимости приводит к выполнению кода или методов, контролируемых пользователем, на стороне сервера).
Замена этих внутренних ключей привела к сбоям в работе некоторых сервисов с 27 по 29 декабря. Администраторы GitHub работают над тем, чтобы извлечь уроки из ошибок, допущенных во время обновления ключей, которые затронули клиентов.
В числе предпринятых мер было обновлено закрытое ключевое слово GPG для подписи коммитов, создаваемых на GitHub. Это касается коммитов, созданных в веб-редакторе, через Codespace, через командную строку в Codespace, а также через операции pull request или Codespace. Срок действия старого ключа истек 16 января, и с тех пор используется новый ключ. С 23 января все новые коммиты, подписанные старым ключом, не будут помечаться как проверенные на GitHub. Открытые ключи, используемые для шифрования пользовательских данных, отправляемых через API в GitHub Actions, GitHub Codespaces и Dependabot, также были обновлены 16 января.
Кроме того, пользователям, использующим эти принадлежащие GitHub открытые ключи для локальной проверки коммитов и шифрования данных при передаче, рекомендуется убедиться, что они обновили свои ключи GPG GitHub, чтобы их системы продолжали функционировать после изменения ключей.
Наконец, если вас интересует более подробная информация, вы можете найти ее по следующей ссылке.