Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Команда Checkmarx обнаружила брешь в защите облачного хостинга GitHub от клонирования репозиториев в рамках атак на цепочку поставок. Как оказалось, создать такой источник вредоносного кода все еще можно, притом легко — путем переименования.

Хранилища на GitHub получают уникальные URL, которые привязываются к аккаунту владельца. Когда пользователь меняет имя аккаунта, на веб-сервисе создаются редиректоры. В Checkmarx придумали, как угнать перенаправленный трафик, сломав логику редиректа, и назвали свой способ RepoJacking.

В итоге на GitHub появился дополнительный механизм защиты, отвечающий за удаление популярных, но устаревших пространств имен (связок имя пользователя / имя репозитория) — чтобы ими не воспользовались злоумышленники. Эта контрмера пускается в ход, когда недельная норма клонов opensource-проекта перевалит за сотню.

Как выяснилось, такую защиту от абьюзов можно обойти с помощью процедуры смены владельца репозитория. Захват чужих имен при этом выглядит следующим образом:

  • злоумышленник создает репозиторий с именем (условно repo), выведенным из обихода, но под другим аккаунтом, разрывая связку (например, вместо прежнего юзернейма victim использует helper);
  • helper_account передает репозиторий repo новому владельцу (attacker) в соответствии с принятым регламентом;
  • тот переименовывает свой аккаунт в victim;
  • новоявленный victim_account принимает запрос на передачу права собственности.

В итоге пространство имен victim/repo попадает под контроль авторов атаки — из-за того, что специализированная защита GitHub считает устаревшей только комбинацию юзернейм / имя репозитория. По словам Checkmarx, подобным образом можно угнать любой популярный софт, если его владелец менял имя пользователя.

Просмотр каталогов Go, Swift и Packagist выявил более 10 тыс. пакетов, находящихся в зоне риска. Оператор GitHub устранил опасную уязвимость в прошлом месяце — 19 сентября.

Positive Technologies планирует выплатить 2 млрд рублей дивидендов

Positive Technologies возвращается к дивидендным выплатам. Совет директоров компании рекомендовал акционерам одобрить выплату дивидендов в размере 2 млрд рублей, или 28,08 рубля на одну акцию. В компании считают, что период внутренней перестройки пройден и бизнес снова чувствует себя достаточно уверенно, чтобы делиться прибылью.

Окончательное решение теперь должны принять акционеры на внеочередном Общем собрании, которое пройдёт 6 мая 2026 года в форме заочного голосования. Если предложение поддержат, дата закрытия реестра для получения дивидендов назначена на 17 мая.

В самой компании возобновление выплат объясняют итогами 2025 года. По словам операционного директора Positive Technologies Андрея Кузина, одним из главных приоритетов в прошлом году была финансовая устойчивость: компания занималась оптимизацией расходов, снижала долговую нагрузку, меняла структуру кредитного портфеля и возвращала в плюс чистую управленческую прибыль — именно этот показатель играет ключевую роль при решении о дивидендах.

В Positive Technologies подчёркивают, что в 2025 году им удалось не только провести заметную трансформацию бизнеса, но и вернуться к росту отгрузок темпами выше рынка, сохранив при этом высокую операционную эффективность. Иными словами, компания пытается показать акционерам довольно простую мысль: бизнес снова растёт, долговая ситуация стала лучше, а значит можно вернуться и к выплатам.

Сама логика здесь укладывается и в дивидендную политику компании. По её условиям на выплаты может направляться от 50 до 100% чистой управленческой прибыли по итогам года — но только если отношение чистого долга к EBITDA остаётся ниже 2,5. Судя по решению совета директоров, в Positive Technologies считают, что сейчас эти условия выполняются.

Есть и один технический нюанс. Хотя рекомендованные дивиденды фактически относятся к результатам 2025 года, формально в материалах собрания источником выплат будет указана чистая прибыль за первый квартал 2026 года. В компании объясняют это особенностями внутригруппового распределения прибыли и желанием ускорить саму выплату акционерам.

RSS: Новости на портале Anti-Malware.ru