Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Команда Checkmarx обнаружила брешь в защите облачного хостинга GitHub от клонирования репозиториев в рамках атак на цепочку поставок. Как оказалось, создать такой источник вредоносного кода все еще можно, притом легко — путем переименования.

Хранилища на GitHub получают уникальные URL, которые привязываются к аккаунту владельца. Когда пользователь меняет имя аккаунта, на веб-сервисе создаются редиректоры. В Checkmarx придумали, как угнать перенаправленный трафик, сломав логику редиректа, и назвали свой способ RepoJacking.

В итоге на GitHub появился дополнительный механизм защиты, отвечающий за удаление популярных, но устаревших пространств имен (связок имя пользователя / имя репозитория) — чтобы ими не воспользовались злоумышленники. Эта контрмера пускается в ход, когда недельная норма клонов opensource-проекта перевалит за сотню.

Как выяснилось, такую защиту от абьюзов можно обойти с помощью процедуры смены владельца репозитория. Захват чужих имен при этом выглядит следующим образом:

  • злоумышленник создает репозиторий с именем (условно repo), выведенным из обихода, но под другим аккаунтом, разрывая связку (например, вместо прежнего юзернейма victim использует helper);
  • helper_account передает репозиторий repo новому владельцу (attacker) в соответствии с принятым регламентом;
  • тот переименовывает свой аккаунт в victim;
  • новоявленный victim_account принимает запрос на передачу права собственности.

В итоге пространство имен victim/repo попадает под контроль авторов атаки — из-за того, что специализированная защита GitHub считает устаревшей только комбинацию юзернейм / имя репозитория. По словам Checkmarx, подобным образом можно угнать любой популярный софт, если его владелец менял имя пользователя.

Просмотр каталогов Go, Swift и Packagist выявил более 10 тыс. пакетов, находящихся в зоне риска. Оператор GitHub устранил опасную уязвимость в прошлом месяце — 19 сентября.

Студентку вернули в вуз после отчисления из-за проверки диплома на ИИ

История о борьбе человека и алгоритма получила неожиданную развязку. Верховный суд Татарстана признал незаконным отчисление студентки московского вуза, чей диплом заподозрили в использовании нейросети. Поводом для конфликта стала система проверки текстов на ИИ-контент. Сначала дипломная работа показала результат в 41,91% нейросетевого текста.

Затем студентка доработала и загрузила её повторно. Однако научный руководитель заявила, что в тексте якобы намеренно нарушена логика слов более чем в 70% материала, и сочла это попыткой обмануть проверку.

На третьей проверке показатель внезапно снизился до 11,92%. Казалось бы, вопрос закрыт. Но вуз решил иначе. Работу отказались принимать, сославшись на пропущенный срок сдачи. Хотя последний день подачи приходился на воскресенье, 8 июня 2025 года.

Уже 10 июня кафедра не допустила диплом к защите, а в тот же день был подписан приказ об отчислении. При этом саму студентку на заседание не пригласили и фактически не оставили времени на обжалование решения.

Суд изучил обстоятельства дела и нашёл сразу несколько проблем. Во-первых, была применена статья 193 Гражданского кодекса, согласно которой если последний день срока выпадает на выходной, он переносится на ближайший рабочий день. Значит, диплом был загружен вовремя.

Во-вторых, выяснилось, что отчёт системы проверки носит лишь вероятностный характер и не является окончательным доказательством использования ИИ. Более того, представитель университета признал, что научный руководитель не разбирается в принципах работы системы и самостоятельно не проводил экспертизу текста.

Дополнительный вопрос возник и к самому алгоритму. Представители вуза не смогли объяснить суду, каким образом система отличает обычные заимствования или особенности текста от результатов работы нейросети.

В итоге Верховный суд Татарстана встал на сторону студентки. Её восстановили на четвёртом курсе, обязали вуз допустить диплом к защите при условии оригинальности текста не менее 50%, а также взыскали с учебного заведения 40 тысяч рублей компенсации морального вреда и ещё 20 тысяч рублей штрафа.

RSS: Новости на портале Anti-Malware.ru