Новая уязвимость GitHub грозила угоном более 4000 проектов

Новая уязвимость GitHub грозила угоном более 4000 проектов

Новая уязвимость GitHub грозила угоном более 4000 проектов

Исследователь из Checkmarx обнаружил новый способ обхода защиты GitHub от злоупотреблений. Найденная им уязвимость позволяет захватить контроль над чужим репозиторием и уже пропатчена.

Согласно блог-записи авторов находки, при выполнении на хостинге операций по созданию репозитория и смене имени пользователя иногда возникает состояние гонки. Подобную ошибку можно использовать для проведения repojacking-атаки.

Во избежание подобных абьюзов на GitHub создали механизм удаления популярных, но устаревших пространств имен (связок имя пользователя / имя репозитория). Эта контрмера пускается в ход, когда на момент переименования аккаунта число клонов opensource-проекта перевалило за сотню.

Новая уязвимость позволяет обойти эту защиту. Разработанный экспертами PoC-эксплойт выполняется следующим образом:

  1. Владелец пространства имен victim_user/repo запускает процедуру смены имени пользователя.
  2. Связка victim_user/repo сбрасывается как устаревшая.
  3. Злоумышленник с юзернеймом attacker_user практически одновременно создает репозиторий с именем repo и меняет attacker_user на victim_user.

На последнем этапе используются API-запрос на создание репозитория и перехват запроса на смену имени пользователя.

По данным Checkmarx, выявленная уязвимость ставит под удар более 4000 пакетов кода на Go, PHP и Swift, а также GitHub Actions. Сотни затронутых проектов собрали как минимум по 1000 звезд.

Сообщение о новой проблеме было выслано оператору GitHub 1 марта. К началу текущего месяца возможность обхода защиты была закрыта.

Билайн открыл доступ к Netflix и Spotify без VPN

Похоже, идея белого VPN начала превращаться из обсуждений в реальный сервис. По информации СМИ, «Билайн» открыл своим абонентам доступ к ряду популярных зарубежных сервисов, которые официально не запрещены в России, но ранее были доступны только через VPN.

Как сообщил генеральный директор компании Сергей Анохин, с 9 июня пользователи подписки bee могут напрямую пользоваться рядом зарубежных платформ.

В список вошли Spotify, Netflix, Ticketmaster, Brawl Stars и другие сервисы. При этом возможность работает на смартфонах, а использование через модемы и стационарные роутеры может ограничиваться.

В компании прямо связали запуск сервиса с концепцией так называемых белых VPN, которая активно обсуждалась на Петербургском международном экономическом форуме.

Напомним, в начале июня Сергей Анохин рассказывал, что операторы связи совместно с властями прорабатывают механизм доступа к зарубежным ресурсам, которые не заблокированы Роскомнадзором, но сами ограничили работу для российских пользователей.

Речь шла не о создании единого списка разрешённых VPN-сервисов, а о технической возможности открыть доступ к отдельным площадкам без необходимости включать сторонние средства обхода ограничений.

Среди примеров тогда назывались Netflix, различные ИИ-сервисы и другие зарубежные платформы, которыми продолжают пользоваться российские пользователи.

Если информация подтвердится, то это может стать одним из первых практических примеров реализации концепции выборочного доступа к зарубежным ресурсам без классического VPN. Фактически оператор берёт на себя техническую часть маршрутизации трафика, избавляя пользователя от необходимости искать сторонние сервисы обхода.

Пока неизвестно, насколько широким окажется список доступных платформ и появятся ли аналогичные предложения у других операторов. Однако сама идея, ещё недавно звучавшая как экспериментальная инициатива на ПМЭФ, похоже, начала получать вполне прикладное воплощение.

Для пользователей это означает простую вещь: некоторые зарубежные сервисы могут снова заработать без лишних настроек, приложений и постоянного поиска работающего VPN.

RSS: Новости на портале Anti-Malware.ru