Salt-N-Pepa'nın yerleşik akılda kalıcı “Push it” melodisiyle bir boşluk: Bir veya daha fazla depoda push iznine sahip saldırganlar, İnternet'ten GitHub Enterprise Server'a (ve GitHub.com'a) kötü amaçlı kod enjekte edebilir. Standart bir git istemcisi yeterliydi.
Reklamdan sonra devamını okuyun
Wiz'in BT araştırmacıları güvenlik açığını keşfettiler ve bunu bir blog gönderisinde tartıştılar. GitHub'un dahili protokollerindeki bir enjeksiyon hatasından yararlanarak kimliği doğrulanmış herhangi bir kullanıcı, tek bir “git push” komutuyla GitHub'un arka uç sunucularında rastgele komutlar yürütebilir. Wiz araştırmacılarının bu güvenlik açığını yapay zekanın yardımıyla keşfettiklerini belirtmeleri şaşırtıcı değil. GitHub.com'da, paylaşılan depolama düğümlerindeki ağdan kötü amaçlı kod yürütmeyi başardılar. GitHub Enterprise Server'da, barındırılan tüm depolara ve dahili sırlara erişim de dahil olmak üzere sunucunun güvenliği tamamen ihlal edildi.
Kısa bir hata açıklaması içeren CVE girişi
GitHub bununla ilgili bir CVE güvenlik açığı girişi yayınladı. Buna göre güvenlik açığı, kullanıcı isteklerinde push komutuna seçenek olarak iletilen özel öğelerin yetersiz filtrelenmesinden kaynaklanmaktadır. Dahili hizmet başlıklarına dahil edilmişlerdir. Bu başlıklar kullanıcı girişinde de görünebilecek bir sınırlayıcı içerebildiğinden, saldırganlar manipüle edilmiş gönderme seçenekleriyle ek meta veri alanları enjekte edebildi (CVE-2026-3854, CVSS4) 8.7risk”yüksek“). Güvenlik açığı, hata ödül programı aracılığıyla bildirildi – GitHub, ödül olup olmadığını ve ne kadar olduğunu söylemiyor. Yapay zekanın yardımıyla oluşturulan çok sayıda güvenlik açığı raporu nedeniyle, artan sayıda proje artık ödül ödemiyor.
Wiz'deki BT araştırmacıları, GitHub.com'un hata mesajından sonraki altı saat içinde yanıt verdiğini ve güvenlik açıklarını kapattığını söylüyor. Programcılar ayrıca desteklenen tüm GitHub Enterprise Server sürümleri için yamaları yayınladı. Bir açıklamayla birlikte bir CVE güvenlik açığı numarası da aynı hızla takip edildi. Wiz, blog yazısının Salı günü yayınlandığı sırada GitHub Enterprise Server örneklerinin yüzde 88'inin hala bu güvenlik açığına karşı savunmasız olduğunu belirtiyor.
Bu nedenle BT yöneticileri GitHub Enterprise Server örneklerini hatası düzeltilmiş sürümlere güncellemelidir. GitHub, Enterprise Server'ın çeşitli sürümlerindeki hataları kapattı: 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4 ve 3.20.0 (veya üstü). GitHub'daki güvenlik açığı açıklamasında doğrudan önceki sürümlerden de bahsediliyor ancak GitHub blog gönderisine göre yöneticilerin daha da yeni sürümlere güncelleme yapması gerekiyor. GitHub, güvenlik açığının henüz saldırılarda istismar edilmediğine de dikkat çekiyor.
(DMK)
Bir yanıt yazın