ClickCease 研究人員發現「高嚴重性」GitHub漏洞

加入我們的熱門時事通訊

加入 4,500+ Linux 和開源專業人士!

每月2次。沒有垃圾郵件。

研究人員發現「高嚴重性」GitHub漏洞

奧班拉·奧佩耶米

實施期間: 2022年11月7 日 - TuxCare專家團隊

Checkmarx Supply Chain Security團隊的研究人員在GitHub中發現了一個「高嚴重性」漏洞。使用一種稱為 Repo 劫持的技術,攻擊者可以通過利用架構中的邏輯“隱藏”缺陷來控制 GitHub 存儲庫,該缺陷使重命名的使用者容易受到攻擊。

所有使用者名,包括 Go、GitHub 上的 Swift 和 Packagist 包管理器上的 10,000 多個包,都容易受到該漏洞的影響。

存儲庫劫持是一種技術,它允許攻擊者劫持存儲庫 URL 流量,並通過利用中斷原始轉發的邏輯錯誤將其偷運到攻擊者的存儲庫中。

易受攻擊的機制被標識為「常用存儲庫命名空間停用」。最初,GitHub 儲存庫具有一個唯一的 URL,該 URL 嵌套在創建存儲庫的用戶帳戶下。每次有人嘗試下載(克隆)開源存儲庫時,他們都會使用完整的存儲庫 URL。

GItHub 是使用者名連結的,因此 GitHub 支援重命名並顯示警告,指出舊存儲庫的 URL 的流量將被重定向到新存儲庫。

接受警告並重命名使用者名后,GitHub 會自動設置從舊倉庫的URL到新URL的重定向規則,這有助於為不知道更改使用者名的使用者保持運行。

因此,GitHub 儲存庫在其建立者決定重命名其使用者名時容易受到 Repo 劫持的攻擊,只要舊使用者名可供註冊。該漏洞允許攻擊者使用與現有使用者使用的舊存儲庫 URL 相同的組合創建新的 GitHub 帳戶。

如果攻擊者執行上述步驟,則會禁用預設重定向,並且所有現有流量將立即重定向到攻擊者惡意 GitHub 儲存庫。

已經有報導稱攻擊者使用存儲庫劫持技術。雖然這是一個紅色的危險,但它也突出了駭客的不斷發展,以開發他們的方法,以找到使用受信任的開源包以獲得最大影響的最簡單方法。

為了修復錯誤並防止惡意行為,GitHub 引入了「流行的存儲庫命名空間停用」保護,這意味著任何具有超過100個克隆的存儲庫在重命名其用戶帳戶時都被視為「已停用」,並且不能被其他人使用。

這篇文章的來源包括 SCMedia上的一篇文章。

在我們的 Youtube 頻道上查看此新聞,您將在其中找到有關網路安全的最新消息:https://bit.ly/3EtJstl

總結
研究人員發現「高嚴重性」GitHub漏洞
文章名稱
研究人員發現「高嚴重性」GitHub漏洞
描述
Checkmarx Supply Chain Security團隊的研究人員在GitHub中發現了一個「高嚴重性」漏洞。在此處閱讀更多內容
作者
發行者名稱
燕尾服
發行者徽標

希望在不重新啟動內核、系統停機或計劃維護窗口的情況下自動修補漏洞?

瞭解TuxCare的即時修補

成為TuxCare客座作家

開始使用

郵件

加入

4,500

Linux和開源
專業人士!

訂閱
我們的時事通訊