דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security גילתה סוג חדש של פגיעות בצינור הפיתוח: שפת התכנות Rust המבוססת על קוד פתוח נמצאה כפגיעה
Legit Security גילתה סוג חדש של פגיעות בצינור הפיתוח: שפת התכנות Rust המבוססת על קוד פתוח נמצאה כפגיעה
חיים נוי 09/12/22 |  צפיות: 373

Legit Security גילתה סוג חדש של פגיעות בצינור הפיתוח: שפת התכנות Rust המבוססת על קוד פתוח נמצאה כפגיעה

תל אביב, 8 בדצמבר 2022, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה סוג חדש של פגיעות שרשרת אספקת תוכנה הממנפת הרעלת פיסות תוכנה לתקיפת צינורות פיתוח התוכנה. הפגיעות נמצאה ב-GitHub Actions, פלטפורמה לסנכרון ומיכון של צינורות פיתוח תוכנה, והפגיעות זוהתה ב-Rust, שפת התכנות הזוכה לפופולריות רבה. פרויקטים רבים אחרים של GitHub Action נותרו פגיעים ובלוג חשיפה טכני, הכולל מידע להגנה על ארגונים מפני התקפה, זמין באתר האינטרנט של Legit Security.

פגיעות הצינור שהתגלתה עלולה לאפשר לכל משתמש GitHub להחליף פיסות פיתוח לגיטימיים בזדוניים, ולאפשר לתוקפים לשנות קוד מקור, לגנוב סודות וליצור התקפות שרשרת אספקה ​​רחבות היקף דמויות CodeCov. Rust, שפת תכנות פופולרית ביותר המשמשת מיליוני מפתחים, הכירה ותיקנה את הפגיעות לאחר החשיפה הראשונית של צוות מחקר האבטחה של Legit.

GitHub Actions היא חלק ממערכת ניהול קוד המקור GitHub הפופולרית ביותר שנמצאת בלב שרשרות אספקת התוכנה של ארגונים רבים, ומשמשת מפתחי תוכנה ברחבי העולם. הפגיעות משפיעה על מנגנון אחסון החפצים של GitHub Actions, המשמש לאחסון והעברת פיסות בנייה בין עבודות פיתוח תוכנה. בשל מגבלה במנגנון התקשורת של פיסות התוכנה שחוצות את תרחישי עבודה, תזרימי עבודה פגיעים אינם יכולים להבחין בין האלמנטים השונים הלגיטימיים של פרויקט לבין אלמנטים שנוצרו בגלל התפצלויות או יצירת העתקים בפרויקט, כך שכל מה יכול ליצור התפצלות, ולאחר מכן ליצור חפץ זדוני שההתייחסות אליו תהיה כאל לגיטימי.

"זהו סוג אחר של פגיעות שיכול להוביל להתקפות ושינויים בצנרת הפיתוח עצמה, ולא רק שינוי של הקוד", אמר ליאב כספי, מייסד שותף ומנהל טכנולוגיה ראשי בLegit Security. "אפשר לעשות אנלוגיה פשוטה לפס ייצור של מכוניות. זוהי התקפה על פס הייצור עצמו שעלולה לכלול גניבת חלקים רגישים, כיבוי שלבים מסוימים או החלפת חלק בר תוקף בחלק מקולקל. זהו וקטור התקפה רב עוצמה שמעניק לפושעי סייבר הרבה אפשרויות להסב נזק. במקרה זה, היעדים הפגיעים הם שרשראות אספקת תוכנה המשתמשות ב-GitHub Action".

צוות מחקר האבטחה של Legit חשף את בעיית האבטחה גם לצוות האבטחה של GitHub. זה הגיב בפשטות על ידי עדכון ממשק התכנות כך שיכלול מידע שעשוי לסייע במניעת הפגיעות הזו. יש לציין שב-GitHub לא התייחסו לשורש הבעיה, ובכך האתר הותיר פרויקטים רבים אחרים של GitHub Action חשופים למתקפת שרשרת האספקה הזו​​. בלוג הגילוי הטכני של Legit Security כולל מידע חשוב כיצד להגן על ארגונים מפני התקפה מסוג זה. מידע נוסף על שיטות עבודה מומלצות כלליות לאבטחת GitHub ניתן למצוא כאן.

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller

[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
תאריך היעד לתביעה נגד MGX ביום שני: רוזן, משרד עורכי דין מהשורה הראשונה, מעודד את המשקיעים ב- Metagenomi, Inc לקבל ייעוץ
תאריך היעד לתביעה נגד MGX ביום שני: רוזן, משרד עורכי דין מהשורה הראשונה, מעודד את המשקיעים ב- Metagenomi, Inc לקבל ייעוץ לפני תאריך יעד חשוב של 25 בנובמבר בתביעה ייצוגית בניירות ערך – MGX

Bitget Wallet השיקה ערכת כלים למסחר במטבעות ממ כדי להעצים את הסוחרים ב-Solana בעת זינוק בשוק
Bitget Wallet השיקה ערכת כלים למסחר במטבעות ממ המאפשרת אסטרטגיות מסחר מתקדמות במהלך הבום בשוק מטבעות הממ בנובמבר

תזכורת למועד לתביעה נגד BMBL: רוזן, יועץ למשקיעים מיומן, מעודד את משקיעי Bumble Inc לקבל ייעוץ
תזכורת למועד לתביעה נגד BMBL: רוזן, יועץ למשקיעים מיומן, מעודד את משקיעי Bumble Inc לקבל ייעוץ לפני תאריך יעד חשוב של 25 בנובמבר בתביעה ייצוגית בניירות ערך – BMBL

התראת מועד לתביעה נגד FNA: רוזן, יועץ למשקיעים גלובלי, מעודד משקיעים ב- Paragon 28, Inc שצברו הפסדים העולים על 100 אלף דולר להבטיח ייעוץ
התראת מועד לתביעה נגד FNA: רוזן, יועץ למשקיעים גלובלי, מעודד משקיעים ב- Paragon 28, Inc שצברו הפסדים העולים על 100 אלף דולר להבטיח ייעוץ לפני תאריך יעד חשוב של 29 בנובמבר בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי החברה - FNA

רוזן, משרד עורכי דין מוביל לזכויות משקיעים, מעודדים את משקיעי iLearningEngines, Inc לקבל ייעוץ
רוזן, משרד עורכי דין מוביל לזכויות משקיעים, מעודדים את משקיעי iLearningEngines, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – AILE

רוזן, יועץ למשקיעים מוביל, מעודד את משקיעי Humacyte, Inc לקבל ייעוץ
רוזן, יועץ למשקיעים מוביל, מעודד את משקיעי Humacyte, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – HUMA

רוזן, יועץ גלובלי המדורג במקום הראשון, מעודד את המשקיעים ב- WM Technology, Inc להבטיח ייעוץ
רוזן, יועץ גלובלי המדורג במקום הראשון, מעודד את המשקיעים ב- WM Technology, Inc להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי החברה – MAPS

אנדרסן מקדמת את פעילות הערכת השווי הגלובלית ב-10 מדינות באזור אסיה-פסיפיק
אנדרסןAndersen , חברת השירותים המקצועיים הרב-תחומיים העצמאית בעלת קצב הצמיחה המהיר ביותר בעולם, ממשיכה להרחיב את פעילות הערכת השווי הגלובלית שלה ולהעמיק את קשריה באזור אסיה-פסיפיק באמצעות ההוספה של חברות שותפות באוסטרליה, בסין, באינדונזיה, במלזיה, בפיליפינים, בסינגפור, בקוריאה הדרומית, בטאיוואן ובווייטנאם.

Xsolla מרחיבה את מיצובה המוביל בתחום החידושים ופיתוחי המשחקים ב-APAC, באמצעות שותפות אסטרטגיות חדשות עם העיר בוסאן וחברת BDAN
Xsolla תקים את מטה APAC, תרחיב את ההזדמנויות להתפתחות של כישורים ותעודד פיתוחי Web3 בבוסאן

Advanced Communications and Electronic Systems (ACES) ו-Radisys חותמות על מזכר הבנות להאצת החדשנות והפיתוח של רשתות 5G אלחוטיות פתוחות (ORAN)
Advanced Communications and Electronic Systems Company (ACES), חברה חדשנית מובילה בתחום הטכנולוגיה אשר בסיסה בסעודיה, ו-Radisys® Corporation, מובילה עולמית בפתרונות טלקום פתוחים, התקשרו ביניהן באמצעות מזכר הבנות (MoU) לצורך שיתוף פעולה בפיתוח טכנולוגיית G ORAN5 (Open Radio Access Network) ותאים סלולריים קטנים.
     
 
שיווק באינטרנט על ידי WSI