Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

White hat-хакеры заработали десятки тысяч долларов в качестве вознаграждения за обнаружение серьезных уязвимостей в GitHub Enterprise.

GitHub Enterprise - on-premises-версия GitHub.com, для использования которой организации платят ежегодно 2500 долларов США за каждые 10 пользователей. Эта версия предлагает безопасность корпоративного уровня, круглосуточную техническую поддержку, варианты хостинга и несколько функций администрирования, недоступных для GitHub.com.

Версии GitHub Enterprise 2.8.5, 2.8.6 и 2.8.7, выпущенные в январе, устраняют несколько недостатков, как критического, так и серьезного уровней, включая те, что могут быть использованы для обхода проверки подлинности и удаленного выполнения произвольного кода.

В начале года GitHub включил Enterprise в программу вознаграждений за выявленные бреши, объявив, что за обнаружение самых серьезных уязвимостей, о которых сообщалось в январе и феврале, исследователи также получат вознаграждения.

Две уязвимости, имеющие критический уровень, были обнаружены исследователем из Греции, Иоаннисом Какавасом (Ioannis Kakavas). Эксперт обнаружил несколько недостатков в языке разметки декларации безопасности (Security Assertion Markup Language, SAML) и получил грант на проведение полного исследования безопасности SAML в GitHub.

По утверждениям самого Какаваса, за обнаружение уязвимостей он получил 27 000 долларов. Недавно он опубликовал сообщение в блоге, содержащее технические детали бреши и код, доказывающий возможность ее эксплуатации.

Еще один критический недостаток был обнаружен немецким экспертом Маркусом Фенске (Markus Fenske). Эксперт обнаружил брешь в консоли управления, которая могла быть использована для выполнения произвольных команд на устройстве GitHub Enterprise.

Фенске получил в общей сложности 18 000 долларов за свою работу, включая премию в размере 10 000 долларов, максимальное вознаграждение, предлагаемое GitHub, и бонус в размере 8 000 долларов США.

В МАКС появился фейковый аккаунт министра финансов Липецкой области

В мессенджере МАКС обнаружили поддельный аккаунт министра финансов Липецкой области Светланы Володиной. От её имени мошенники звонят и пишут пользователям. По данным местных СМИ, злоумышленники также создавали фейковые аккаунты других региональных чиновников и пытались выманить личные данные, платёжные реквизиты, логины, пароли и коды подтверждения от различных сервисов.

Об обнаружении ложного аккаунта чиновницы сообщили местные СМИ со ссылкой на пресс-службу регионального Минфина. Аналогичный поддельный аккаунт также появился у председателя липецкого горсовета Бориса Понаморёва.

Ранее звонки и сообщения рассылались от имени председателя липецкого облсовета Владимира Серикова.

Пользователям напомнили базовые правила кибергигиены: не отвечать на сообщения от неизвестных отправителей, не открывать ссылки от непроверенных лиц и не передавать конфиденциальную информацию. Подозрительный аккаунт лучше сразу заблокировать и пожаловаться на него в поддержку платформы.

В марте злоумышленники пытались провести атаку Fake Boss против министра по чрезвычайным ситуациям Камчатского края Сергея Лебедева, однако она оказалась безуспешной. В том случае также использовалась отечественная платформа.

Кроме того, в МАКС начали активно распространять вредоносные приложения, в частности троянец Mamont. Причём злоумышленники атакуют не только отдельных пользователей, но и целые группы, которые перешли на платформу при «переезде» домовых, родительских, дачных и других чатов с уже сформированной аудиторией.

RSS: Новости на портале Anti-Malware.ru