Новая уязвимость GitHub грозила угоном более 4000 проектов

Новая уязвимость GitHub грозила угоном более 4000 проектов

Новая уязвимость GitHub грозила угоном более 4000 проектов

Исследователь из Checkmarx обнаружил новый способ обхода защиты GitHub от злоупотреблений. Найденная им уязвимость позволяет захватить контроль над чужим репозиторием и уже пропатчена.

Согласно блог-записи авторов находки, при выполнении на хостинге операций по созданию репозитория и смене имени пользователя иногда возникает состояние гонки. Подобную ошибку можно использовать для проведения repojacking-атаки.

Во избежание подобных абьюзов на GitHub создали механизм удаления популярных, но устаревших пространств имен (связок имя пользователя / имя репозитория). Эта контрмера пускается в ход, когда на момент переименования аккаунта число клонов opensource-проекта перевалило за сотню.

Новая уязвимость позволяет обойти эту защиту. Разработанный экспертами PoC-эксплойт выполняется следующим образом:

  1. Владелец пространства имен victim_user/repo запускает процедуру смены имени пользователя.
  2. Связка victim_user/repo сбрасывается как устаревшая.
  3. Злоумышленник с юзернеймом attacker_user практически одновременно создает репозиторий с именем repo и меняет attacker_user на victim_user.

На последнем этапе используются API-запрос на создание репозитория и перехват запроса на смену имени пользователя.

По данным Checkmarx, выявленная уязвимость ставит под удар более 4000 пакетов кода на Go, PHP и Swift, а также GitHub Actions. Сотни затронутых проектов собрали как минимум по 1000 звезд.

Сообщение о новой проблеме было выслано оператору GitHub 1 марта. К началу текущего месяца возможность обхода защиты была закрыта.

У депутатов Госдумы начали блокировать аккаунты Apple

С блокировками аккаунтов Apple столкнулись как минимум три депутата Госдумы. По их словам, это связано с санкционной политикой США. Один из парламентариев получил блокировку при попытке оплатить подписку, другому уведомление пришло неожиданно.

О блокировке аккаунтов депутатов сообщили «Ведомости» со ссылкой на самих парламентариев.

Ранее единственным российским политиком, публично заявлявшим о такой блокировке, был Дмитрий Рогозин, ныне сенатор от Запорожской области. При этом, по его словам, техникой Apple он никогда не пользовался, а о блокировке узнал случайно, проверяя почту на почти заброшенном аккаунте.

Депутаты Роза Чемерис и Виталий Милонов, которые пользуются iPhone, утверждают, что Apple ID у них нет. Еще один депутат, как отмечает издание, смог оплатить подписку на один из сервисов на глазах у корреспондента.

Политолог Константин Калачев назвал использование депутатами смартфонов Apple проявлением двоемыслия. В то же время, по его словам, такая практика объяснима: iPhone — качественный продукт, а от привычек в целом сложно отказаться. Тем, кто столкнулся с блокировкой, он посоветовал перейти на альтернативные платформы.

Руководитель отдела разработки компании EvApps Дмитрий Ентин исключил возможность передачи данных российских депутатов операторами связи или продавцами устройств: это прямо запрещено российским законодательством. Он также допустил, что с блокировками могут столкнуться полные тезки подсанкционных лиц. При этом Ентин отметил, что ему не известны случаи реальных блокировок аккаунтов подсанкционных лиц.

Аналитик акселератора Fintech Lab Сергей Вильянов назвал блокировку аккаунтов нелогичным шагом: подобные меры, по его словам, не применялись даже в отношении представителей Ирана. Он подчеркнул, что поддержка оборудования и ПО — важное условие для спокойного возвращения на российский рынок. В качестве возможного решения Вильянов упомянул оформление аккаунтов на других людей или регистрацию в другой стране.

RSS: Новости на портале Anti-Malware.ru