דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
חיים נוי 22/01/23 |  צפיות: 256

Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים

תל אביב, 19 בינואר 2023, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה פגיעות מסוג מניעת שירות (DoS) שקל לנצל בספריות Markdown המשמשות את GitHub, GitLab ואינספור יישומים אחרים המשתמשים בשירות ה-Markdown הפופולרי Commonmarker. עם הפגיעות המכונה MarkdownTime, גרסה פגיעה של השירות Commonmarker מאפשרת לתוקף לפרוס התקפת DoS פשוטה שתשבית אינספור שירותים עסקיים דיגיטליים ברחבי העולם על ידי שיבוש צינורות פיתוח היישומים שלהם. מידע נוסף על הפגיעות וכיצד לצמצם את הסיכונים ניתן למצוא בפוסט הגילוי הטכני כאן.

Markdown מתייחס ליצירת טקסט מעוצב באמצעות עורך טקסט רגיל שנמצא בדרך כלל בכלים ובסביבות פיתוח תוכנה. מגוון רחב של יישומים ופרויקטים מיישמים את ספריות הקוד הפתוח הפופולריות של Markdown, כמו הגרסה הפופולרית המשולבת ביישום של GitHub - GFM (GitHub Flavored Markdown). במקרה זה, חוקרי Legit Security מצאו כי מאוד פשוט להוביל לפעולה שתגרום למיצוי משאבים בלתי מוגבל המוביל להתקפת מניעת שירות שעלולה להפיל את השירות. לאחר שהפנו את תשומת הלב של צוות האבטחה של GitHub לפגיעות הזו, השירות זיהה את הבעיה ופרסם אישור ותיקון רשמיים שניתן למצוא כאן: CVE-2022-39209. יש לציין שגם כלים ושירותים רבים אחרים עשויים להיות רגישים לאותה פגיעות.

"ספריות קוד פתוח נמצאות בכל מקום בפיתוח תוכנה מודרני, אבל כשצצות פגיעויות, יכול להיות מאוד קשה לעקוב אחריהן בגלל עותקים לא מבוקרים של הקוד הפגיע המקורי", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף של Legit Security. "כאשר ספריה הופכת לפופולרית ונפוצה, פגיעות בתוכה עלולה לאפשר התקפה על אינספור פרויקטים. התקפות אלו יכולות לכלול הפרעה לשירותים עסקיים קריטיים, כמו פגיעה בשרשרת אספקת התוכנה והיכולת לשחרר יישומים עסקיים חדשים".

זה בדיוק מה שצוות המחקר של Legit Security מצא בהקשר של MarkdownTime: עותק של יישום ה-GFM הפגיע נמצא ב-Commonmarker, חבילת Ruby הפופולרית המיישמת תמיכה ב-Markdown, לה יש יותר ממיליון מאגרים תלויים. צוות Legit Security מצא הטמעה במספר שירותי ניהול קוד מקור קריטיים לעסקים, ביניהם GitHub ו-GitLab. באמצעות ניצול זה, תוקף לא מאומת יכול להפיל צינורות ייצור תוכנה שלמים ולגרום נזק משמעותי ליוזמות העסקיות הדיגיטליות של הארגון. שירותים רבים אחרים מעבר לסביבות פיתוח תוכנה בלבד עלולים להיות פגיעים לשיבוש עסקי יקר.

צוות המחקר של Legit Security חשף את סוגיית האבטחה הזו לגוף המתחזק את Commonmarker, כמו גם ל-GitHub וגם ל-GitLab. כולם תיקנו את הבעיות, אך עותקים רבים נוספים של יישום ה-Markdown הזה נפרסו ונמצאים בשימוש.

תיאור מעמיק של MarkdownTime, יחד עם מידע על אופן ההגנה על ארגונים ופרויקטים, ניתן למצוא בבלוג של Legit Security .

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller
OutVox
[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
MLL Legal בוחרת בפלטפורמת משרדי עורכי הדין AQX של Anaqua כדי לשפר את ניהול הקניין הרוחני ולהניע יעילות תפעולית
משרד עורכי דין שוויצרי מוביל מאמץ פתרון מדרגי ואינטואיטיבי לחיזוק יכולות ניהול הקניין הרוחני

Nyxoah מדווחת על תוצאותיה הכספיות והתפעוליות לרבעון השלישי של 2024
Nyxoah SA (נאסד"ק/יורונקסט בריסל: NYXH) חברת טכנולוגיות רפואיות המפתחת חלופות טיפול פורצות דרך לדום נשימה בשינה (OSA) באמצעות נוירומודולציה, דיווחה היום על תוצאותיה הכספיות והתפעוליות לרבעון השלישי של 2024.

רוזן, יועץ למשקיעים מיומן, מעודד את משקיעי AMMO, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – POWW
משרד רוזן עורכי דין (Rosen Law Firm), משרד עורכי דין בינלאומי העוסק בזכויות משקיעים, מזכיר לרוכשים את ניירות הערך של AMMO, Inc. (נאסד"ק: POWW) בין התאריכים 19 באוגוסט 2020 עד 24 בספטמבר 2024, שני התאריכים כוללים ("התקופה הייצוגית"), את המועד האחרון החשוב של 29 בנובמבר 2024 להגשת תביעה ייצוגית בניירות ערך.

מידע למשקיעים ב-KSPI: משקיעים שספגו הפסדים ב- Joint Stock Company Kaspi.kz מוזמנים לפנות לרוזן עורכי דין
מידע למשקיעים ב-KSPI: משקיעים שספגו הפסדים ב- Joint Stock Company Kaspi.kz מוזמנים לפנות לרוזן עורכי דין בנוגע לחקירה מתמשכת נגד החברה – KSPI

יוסי כרמיל פורש מתפקיד מנכ"ל סלברייט לאחר קרוב ל-20 שנה
Cellebrite מכריזה על תוכנית לבחירת מנכ"ל

Vasion מסירה את הלוט מעל אוטומציית הפלט: מחוללת מהפכה בניהול פלט ואוטומציה של זרימת עבודה באמצעות פתרון מקורי בענן
®Vasion, חלוצה בהדפסה ללא שרת ובאוטומציה מתוזמרת, הכריזה על ההשקה של ™Vasion Output Automation, פתרון "תוכנה כשירות" (SaaS) מקורי בענן ההופך את ניהול הפלט לאוטומטי ומאפשר ללקוחות לנצל יכולות בינה מלאכותית פורצות דרך.

התראת מועד לתביעה נגד COIN: רוזן, יועץ למשקיעים בעל שם ארצי, מעודד את משקיעי Coinbase Global, Inc לקבל ייעוץ
התראת מועד לתביעה נגד COIN: רוזן, יועץ למשקיעים בעל שם ארצי, מעודד את משקיעי Coinbase Global, Inc לקבל ייעוץ לפני תאריך יעד חשוב של 12 בנובמבר בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי החברה – COIN

רוזן, משרד עורכי דין ותיק, מעודד את משקיעי Acadia Healthcare Company, Inc לקבל ייעוץ
רוזן, משרד עורכי דין ותיק, מעודד את משקיעי Acadia Healthcare Company, Inc לקבל ייעוץ לפני מועד חשוב בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי המשרד – ACHC

מועד אחרון לתביעה נגד ALLER: רוזן, יועץ למשקיעים המדורג ראשון, מעודד את משקיעי Allarity Therapeutics, Inc להבטיח ייעוץ
מועד אחרון לתביעה נגד ALLER: רוזן, יועץ למשקיעים המדורג ראשון, מעודד את משקיעי Allarity Therapeutics, Inc להבטיח ייעוץ לפני תאריך יעד חשוב של 12 בנובמבר בתביעה ייצוגית בניירות ערך – ALLR

אייזסקרין וסקוטרוניק חתמו על הסכם מפיצים בתערוכת Intersec 2024 בנוכחות שרת הכלכלה והדיגיטל האוסטרית לשעבר מרגרטה שרמבאוק
אייזסקרין (easescreen), חברה בינלאומית מובילה בתחום פתרונות שילוט דיגיטלי, שמחה להודיע על חתימת הסכם הפצה עם סקוטרוניק (Secutronic), ספקית מובילה של שירותי אבטחה ואינטגרציה טכנולוגית. ההסכם נחתם בתערוכתIntersec , תערוכת הבטיחות, האבטחה וההגנה מפני אש המובילה בעולם, המתקיימת בריאד.
     
 
שיווק באינטרנט על ידי WSI