דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
חיים נוי 22/01/23 |  צפיות: 441

Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים

תל אביב, 19 בינואר 2023, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה פגיעות מסוג מניעת שירות (DoS) שקל לנצל בספריות Markdown המשמשות את GitHub, GitLab ואינספור יישומים אחרים המשתמשים בשירות ה-Markdown הפופולרי Commonmarker. עם הפגיעות המכונה MarkdownTime, גרסה פגיעה של השירות Commonmarker מאפשרת לתוקף לפרוס התקפת DoS פשוטה שתשבית אינספור שירותים עסקיים דיגיטליים ברחבי העולם על ידי שיבוש צינורות פיתוח היישומים שלהם. מידע נוסף על הפגיעות וכיצד לצמצם את הסיכונים ניתן למצוא בפוסט הגילוי הטכני כאן.

Markdown מתייחס ליצירת טקסט מעוצב באמצעות עורך טקסט רגיל שנמצא בדרך כלל בכלים ובסביבות פיתוח תוכנה. מגוון רחב של יישומים ופרויקטים מיישמים את ספריות הקוד הפתוח הפופולריות של Markdown, כמו הגרסה הפופולרית המשולבת ביישום של GitHub - GFM (GitHub Flavored Markdown). במקרה זה, חוקרי Legit Security מצאו כי מאוד פשוט להוביל לפעולה שתגרום למיצוי משאבים בלתי מוגבל המוביל להתקפת מניעת שירות שעלולה להפיל את השירות. לאחר שהפנו את תשומת הלב של צוות האבטחה של GitHub לפגיעות הזו, השירות זיהה את הבעיה ופרסם אישור ותיקון רשמיים שניתן למצוא כאן: CVE-2022-39209. יש לציין שגם כלים ושירותים רבים אחרים עשויים להיות רגישים לאותה פגיעות.

"ספריות קוד פתוח נמצאות בכל מקום בפיתוח תוכנה מודרני, אבל כשצצות פגיעויות, יכול להיות מאוד קשה לעקוב אחריהן בגלל עותקים לא מבוקרים של הקוד הפגיע המקורי", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף של Legit Security. "כאשר ספריה הופכת לפופולרית ונפוצה, פגיעות בתוכה עלולה לאפשר התקפה על אינספור פרויקטים. התקפות אלו יכולות לכלול הפרעה לשירותים עסקיים קריטיים, כמו פגיעה בשרשרת אספקת התוכנה והיכולת לשחרר יישומים עסקיים חדשים".

זה בדיוק מה שצוות המחקר של Legit Security מצא בהקשר של MarkdownTime: עותק של יישום ה-GFM הפגיע נמצא ב-Commonmarker, חבילת Ruby הפופולרית המיישמת תמיכה ב-Markdown, לה יש יותר ממיליון מאגרים תלויים. צוות Legit Security מצא הטמעה במספר שירותי ניהול קוד מקור קריטיים לעסקים, ביניהם GitHub ו-GitLab. באמצעות ניצול זה, תוקף לא מאומת יכול להפיל צינורות ייצור תוכנה שלמים ולגרום נזק משמעותי ליוזמות העסקיות הדיגיטליות של הארגון. שירותים רבים אחרים מעבר לסביבות פיתוח תוכנה בלבד עלולים להיות פגיעים לשיבוש עסקי יקר.

צוות המחקר של Legit Security חשף את סוגיית האבטחה הזו לגוף המתחזק את Commonmarker, כמו גם ל-GitHub וגם ל-GitLab. כולם תיקנו את הבעיות, אך עותקים רבים נוספים של יישום ה-Markdown הזה נפרסו ונמצאים בשימוש.

תיאור מעמיק של MarkdownTime, יחד עם מידע על אופן ההגנה על ארגונים ופרויקטים, ניתן למצוא בבלוג של Legit Security .

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller
OutVox
[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
קול קורא למועמדים: פרס האזרח הגלובלי לשנת 2026
חברת Henley & Partners, חברת תכנון מגורים ואזרחות בינלאומית מובילה, בשיתוף פעולה עם Andan Foundation, ארגון הומניטרי ללא מטרות רווח שוויצרי, שמחה להודיע ​​על הקריאה להגשת מועמדויות לפרס האזרח הגלובלי לשנת 2026.

Bitget מעניקה לבינה מלאכותית חשבון מסחר משלה, ומתקדמת לעבר בורסה טבעית עבור סוכנים
Bitget , הבורסה האוניברסלית (UEX) הגדולה בעולם, הציגה מבנה חשבון חדש המאפשר לסוכן המסחר מבוסס הבינה המלאכותית שלה, GetClaw, לבצע עסקאות באופן אוטונומי בתוך סביבת חשבון ייעודית, ובכך מסמנת שלב חדש בהתפתחות של מסחר מונע בינה מלאכותית.

Bitget מכניסה קריפטוגרפיה להוצאות היומיומיות עם השקת Bitget Card באזור אסיה פסיפיק
Bitget, הבורסה האוניברסלית (UEX) הגדולה בעולם, בשיתוף פעולה עם Visa ו-DCS, השיקה את Bitget Card בשווקים נבחרים באזור אסיה פסיפיק (APAC), והרחיבה את השימוש במטבעות קריפטוגרפים מעבר לבורסות, אל תוך ההוצאות היומיומיות, כשהיא מסמנת צעד נוסף לקראת חוויה פיננסית אחודה יותר בה נכסים דיגיטליים פועלים בשקט ברקע של חיי היומיום.

Egg Medical משיקה את EggNest™ Complete Flex: הגנה ללא סינר, ללא בנייה, השבתה או שיבושים
Egg Medical מכריזה על השקת EggNest™ Complete Flex, התקדמות פורצת דרך בתחום ההגנה מפני קרינה המאפשרת לרופאים לעבוד בבטחה ללא סינר או עם סינרי עופרת קלים במיוחד - ללא צורך בבנייה, שינויים מבניים או זמן השבתה פרוצדורלי.

מנכ"ל Datavault AI, נתניאל ט. בראדלי, יעביר נאומים מרכזיים בנושא פורץ דרך בתחום אסימוני נכסים מציאותיים
מנכ"ל Datavault AI, נתניאל ט. בראדלי, יעביר נאומים מרכזיים בנושא פורץ דרך בתחום אסימוני נכסים מציאותיים RWA בכנס CONV3RGENCE לונדון ו- AssetRush × Zurich 2026 בניית מומנטום עולמי לקראת אירוע XRP בטוקיו הקרוב

Axi משיקה סדרת וובינרים חינמית בנושא פורקס להעצמת סוחרים חדשים באמריקה הלטינית
ברברה מורנו, סוחרת ומאמנת חשיבה ידועה, מובילה יוזמה חינוכית כדי לענות על הביקוש הגובר למיומנויות מסחר מעשיות ברחבי אמריקה הלטינית

מידע למשקיעי DNOW: אם סבלתם הפסדים ב- DNOW Inc. (NYSE: DNOW), אתם מוזמנים ליצור קשר
מידע למשקיעי DNOW: אם סבלתם הפסדים ב- DNOW Inc. (NYSE: DNOW), אתם מוזמנים ליצור קשר עם משרד רוזן עורכי דין בנוגע לזכויותיכם.

ביטגט משיקה תוכנית VIP Fast Track לניהול חוזים עתידיים, ספוט ואחזקות נכסים
Bitget , הבורסה האוניברסלית (UEX) הגדולה בעולם, השיקה היום את תוכנית ה-VIP Fast Track, קמפיין חדש שנועד לעזור למשתמשים להגיע לרמות VIP גבוהות יותר באמצעות מסלולי מסחר מותאמים אישית בחוזים עתידיים, ספוט ואחזקות נכסים.

Gradiant זכתה בחוזה מים משמעותי עבור מרכז נתונים היפרסקייל בבריטניה
Gradiant, חברה עולמית מובילה לפתרונות מתקדמים למים ושפכים, זכתה בחוזה לתכנון והקמה של מתקני טיפול במים עבור מרכז נתונים היפרסקייל בדידקוט, אוקספורדשייר בבריטניה.

U.S. Polo Assn. תמכה באליפות הבין-מכללתית הלאומית של ליגה א, והציגה את עתיד ספורט הפולו
גמרי הנשים והגברים של ליגה א ישודרו בתוכנית 'Breakaway: Polo in College' ב-ESPN
     
 
שיווק באינטרנט על ידי WSI