O GitHub corrigiu uma falha de segurança de alta gravidade relatada pelo Project Zero do Google. O bug afetou o recurso Actions (uma ferramenta de automação do fluxo de trabalho do desenvolvedor), que o pesquisador Felix Wilhelm disse ser “altamente vulnerável a ataques de injeção”.
Enquanto o Google o descreveu como um bug de alta gravidade, o GitHub argumentou que era uma vulnerabilidade de segurança moderada. O Project Zero geralmente revela quaisquer falhas que encontra 90 dias após relatá-las.
GitHub corrige falha de segurança grave
Um dia antes do prazo de divulgação, o GitHub disse ao Google que não desabilitaria os comandos vulneráveis até 2 de novembro e, em seguida, solicitou 48 horas adicionais; não para corrigir o problema, mas para notificar os clientes e determinar uma data fixa em algum momento no futuro. O Google publicou os detalhes do bug 104 dias depois de relatar o problema ao GitHub.
O GitHub finalmente resolveu o problema na semana passada, desativando os antigos comandos “set-env” e “add-path”. A correção foi implementada em 16 de novembro, duas semanas depois que Wilhelm divulgou publicamente o problema.
Como Wilhelm observou em seu relatório, a versão anterior do comando “set-env” era interessante do ponto de vista da segurança porque pode ser usada para definir variáveis de ambiente arbitrárias como parte de uma etapa do fluxo de trabalho.
Wilhelm escreveu:
O grande problema com esse recurso é que ele é altamente vulnerável a ataques de injeção.
Na maioria dos casos, a capacidade de definir variáveis de ambiente arbitrárias resulta na execução remota de código assim que outro fluxo de trabalho é executado.
Notícias Relacionadas
ColorOS 15
ColorOS 15 será lançado em 17 de outubro!
A Oppo anunciou oficialmente a data para sua Oppo Developer Conference (ODC) anual. Na ocasião, a empresa deve lançar o ColorOS15. O evento acontecerá emra 17 de outubro, a aproximadamente um mês de distância. Lançamento do ColorOS 15 A principal atração do evento da Oppo será a revelação do ColorOS 15. A próxima atualização de […]
Extensões Microsoft Edge
Microsoft Edge: extensões que causam problemas de desempenho serão sinalizadas
A Microsoft está testando um novo recurso no navegador Edge chamado “detector de desempenho de extensão”. Esse novo recurso avisa quando as extensões do navegador causam problemas de desempenho nas páginas da web que você visita. Detecção de desempenho de extensões do Microsoft Edge Quando extensões de navegador são instaladas, elas geralmente processam páginas visitadas […]
Agora que o GitHub desativou os dois comandos vulneráveis, Wilhelm também atualizou seu relatório de problema para confirmar que o problema foi corrigido.
ZDNET
GitHub lança ferramenta de verificação de código para encontrar vulnerabilidades de segurança
