Legit Security מגלה פגיעויות הסלמת הרשאות ב-GitHub ומזהירה ארגונים מפני התקפות פוטנציאליות על שרשרת האספקה ​​של התוכנה

תל אביב, 12 באפריל 2022, (GLOBE NEWSWIRE) :

Legit Security, חברת אבטחת סייבר עם פלטפורמת תוכנה כשירות ארגונית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה היום על חשיפה אחראית של פגיעויות הסלמת הרשאות GitHub-Actions שנמצאו לאחרונה. פגיעויות אלו פותחות את הדלת להתקפות שרשרת אספקת התוכנה בהן תוקף יכול להשתלט על תהליך בניית התוכנה של הארגון כדי לשבש פעולות פנימיות או כדי להטמיע בתוכנה קוד שנשלט על ידי התוקף או דלתות אחוריות, באופן שמעמיד לקוחות במורד הזרם בסיכון. מוקדם יותר השנה, Legit Security הכריזה על הערכת סיכונים מהירה בחינם לארגונים כדי לקבל תובנה מיידית לגבי פגיעויות בכל שרשרת אספקת התוכנה שלהם, כולל הנושא האחרון. בתגובה לבעיה המסוימת הזו של GitHub, Legit Security פרסמה באתר שלה בלוג גילוי טכני הכולל הנחיות מפורטות לארגונים כיצד לתקן זאת.

הפגיעויות התגלו בזרימות העבודה של GitHub-Actions, שהוא שירות בניית התוכנה של מערכת ניהול קוד המקור ב-GitHub הפופולרית ביותר, שנמצאת בלב שרשרות אספקת התוכנה של ארגונים רבים ומשמשת מפתחי תוכנה בכל רחבי העולם. GitHub משמשת בעיקר עבור בקרת גרסאות תוכנה, ניהול שינויים בקוד המקור של המשתמשים והוראות בניית תוכנה - הפעולות שניתן לנצל עם הפגיעויות שהתגלו לאחרונה. האתגר של אבטחת שרשראות אספקת התוכנה, לרבות הצינורות, המערכות, הקוד והאנשים שבתוכו, קיבל נראות וחשיבות רבה יותר בשל כמה התקפות בפרופיל גבוה לאחרונה. Legit Security פיתחה פלטפורמת אבטחה ייעודית כדי להגן על סביבת שרשרת אספקת התוכנה מקצה לקצה כדי לתת מענה לצורך הגובר הזה.

"המשימה והמטרה שלנו ביצירת Legit Security היא לסייע בהגנה על ארגונים מפני התקפות של שרשרת אספקת תוכנה", אמר ליאב כספי, המנהל הטכני ראשי, ומייסד שותף של Legit Security. "נוף האיומים משתנה כל הזמן, וחוקרי האבטחה הפנימיים שלנו עוקבים ללא הרף אחר שיטות אבטחה מומלצות בכל התעשייה, כולל חיפוש אחר איומים חדשים. אנו תורמים באופן פעיל לקהילת אבטחת הסייבר הרחבה יותר כדי לשפר את החוסן מפני התקפות מזיקות אלו, וגם להטמיע את הממצאים הללו ואת שיטות האבטחה המומלצות במאות פרטי מדיניות אבטחה הניתנות לאכיפה בפלטפורמת Legit Security שלנו."

לפי גרטנר, 45% מהארגונים ברחבי העולם יחוו התקפות על שרשראות אספקת התוכנה שלהם עד 2025, עלייה של פי שלושה מ-2021. פריצות בידי פושעי סייבר או השתלטות על שרשרת אספקת התוכנה של ארגון הביאו למתקפות סייבר רבות בפרופיל גבוה בשנים האחרונות כולל SolarWinds, Codecov, Kaseya, NotPetya ואחרים.

"החששות לגבי גמישות שרשרת אספקת התוכנה כבר אינן של מובילי אבטחת ה-IT בלבד, אלא גם של המנהלים העסקיים וחדר הדירקטוריון", אמר רוני פוקס, מנכ"ל Legit Security. "מניעת התקפות שעלולות ליצור הרס בפעילות הפנימית, לחדור לתוכנה הארגונית, לסכן לקוחות ולשבש מודלים עסקיים דיגיטליים שלמים ראויה שתהיה בעדיפות הגבוהה ביותר שלהם. אנו גאים לעזור לארגונים עם הנחיות לשיטות עבודה מומלצות ולהציע גם פלטפורמת אבטחה שמטפלת בנקודות התורפה הללו וגם מאפשרת לארגונים לעשות זאת ביעילות ובקנה מידה מתאים".

Legit Security העבירה את המידע על חשיפת הפגיעות הזו בהרשאות צינורות המידע של GitHub ל-GitHub. צוות מחקר האבטחה הפנימית של Legit Security דגמה מאגרי GitHub פופולריים מאוד עם דירוג של למעלה מ-1,000 כוכבים ומצא ברבים מהם את הפגיעות הזו. Legit Security פנתה ישירות לאותם אתרים מושפעים, כולל ספק עם אחד ממוצרי שרתי הקוד הפתוח הפופולריים בעולם המשמשים להפעלת מאות מיליוני אתרים, והספק הזה הצליח לתקן את הפגיעות למחרת.

למידע מפורט כיצד להגן על הארגון שלכם מפני הסלמה זו של בהרשאות GitHub, בקרו בבלוג החשיפה הטכנית של Legit Security. אם אתם מעוניינים לקבל הערכת סיכונים מהירה יסודית ללא עלות, אנא הגישו את בקשתכם כאן.

אודות Legit Security

Legit Security מגינה על שרשראות אספקת התוכנה מפני התקפה על ידי גילוי ואבטחת הצינורות, התשתית, הקוד והאנשים באופן אוטומטי, כך שעסקים יכולים להישאר בטוחים ובה בעת לאפשר שחרור תוכנה מהיר. Legit מספקת פתרון תוכנה כשירות קל ליישום התומך במשאבים בענן ובאופן מקומי ומשלב יכולות גילוי וניתוח אוטומטיים עם מאות מדיניות אבטחה שפותחו בידי מומחי תעשייה עם ניסיון אמיתי באבטחת SDLC. פתרון משולב זה שומר על אבטחת מפעל התוכנה שלך ומספק ביטחון מתמשך שהיישומים שלכם מושקים ללא פגיעויות.

קשרי מדיה

Media Contact
Tony Keller
OutVox
[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE