Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

Хакеров щедро вознаградили за найденные бреши в GitHub Enterprise

White hat-хакеры заработали десятки тысяч долларов в качестве вознаграждения за обнаружение серьезных уязвимостей в GitHub Enterprise.

GitHub Enterprise - on-premises-версия GitHub.com, для использования которой организации платят ежегодно 2500 долларов США за каждые 10 пользователей. Эта версия предлагает безопасность корпоративного уровня, круглосуточную техническую поддержку, варианты хостинга и несколько функций администрирования, недоступных для GitHub.com.

Версии GitHub Enterprise 2.8.5, 2.8.6 и 2.8.7, выпущенные в январе, устраняют несколько недостатков, как критического, так и серьезного уровней, включая те, что могут быть использованы для обхода проверки подлинности и удаленного выполнения произвольного кода.

В начале года GitHub включил Enterprise в программу вознаграждений за выявленные бреши, объявив, что за обнаружение самых серьезных уязвимостей, о которых сообщалось в январе и феврале, исследователи также получат вознаграждения.

Две уязвимости, имеющие критический уровень, были обнаружены исследователем из Греции, Иоаннисом Какавасом (Ioannis Kakavas). Эксперт обнаружил несколько недостатков в языке разметки декларации безопасности (Security Assertion Markup Language, SAML) и получил грант на проведение полного исследования безопасности SAML в GitHub.

По утверждениям самого Какаваса, за обнаружение уязвимостей он получил 27 000 долларов. Недавно он опубликовал сообщение в блоге, содержащее технические детали бреши и код, доказывающий возможность ее эксплуатации.

Еще один критический недостаток был обнаружен немецким экспертом Маркусом Фенске (Markus Fenske). Эксперт обнаружил брешь в консоли управления, которая могла быть использована для выполнения произвольных команд на устройстве GitHub Enterprise.

Фенске получил в общей сложности 18 000 долларов за свою работу, включая премию в размере 10 000 долларов, максимальное вознаграждение, предлагаемое GitHub, и бонус в размере 8 000 долларов США.

Секретный контракт ЦРУ помог Стиву Джобсу вернуться в Apple

Стив Джобс мог вернуться в Apple благодаря секретному заказу американской разведки, который помог его компании NeXT пережить тяжёлые времена. ЦРУ договорилось закупать до 20 тыс. рабочих станций в год для обработки спутниковых снимков. История началась в 1986 году.

Сотрудники секретной программы ЦРУ Program B Джо Ромелло и Джефф Харрис предложили Джобсу создать модифицированную версию компьютера NeXT: с более быстрым процессором Motorola и специальной графической картой Intel.

Публично NeXT рассказывала о партнёрстве с компанией ESL, а внутри правительства закупку проводило Агентство национальной безопасности. Компьютеры забирали немаркированные грузовики, дорабатывали в подставной компании ЦРУ и самолётами C-5 отправляли в Национальное управление военно-космической разведки США.

По данным The Wall Street Journal, аналитики использовали NeXTcube для просмотра спутниковых снимков, отслеживания войск и строительства ракетных шахт. На этих же компьютерах готовили мультимедийные разведывательные брифинги для законодателей и президента.

По словам участников проекта, технология позволила быстрее доставлять данные военным командирам по всему миру и ослабила привычную централизацию разведки.

Для NeXT заказ оказался спасательным кругом. Дорогие рабочие станции плохо продавались университетам, а секретный клиент дал компании время укрепить технологии и репутацию Джобса как руководителя.

В 1996 году Apple купила NeXT, после чего Джобс вернулся в основанную им компанию. Система NeXTSTEP стала технологической основой будущей macOS, а затем и продуктов Apple, включая iPhone.

Нельзя утверждать, что ЦРУ в одиночку вернуло Джобса в директорское кресло, но без секретных госзакупок история Apple могла сложиться иначе.

RSS: Новости на портале Anti-Malware.ru