דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
חיים נוי 22/01/23 |  צפיות: 260

Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים

תל אביב, 19 בינואר 2023, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה פגיעות מסוג מניעת שירות (DoS) שקל לנצל בספריות Markdown המשמשות את GitHub, GitLab ואינספור יישומים אחרים המשתמשים בשירות ה-Markdown הפופולרי Commonmarker. עם הפגיעות המכונה MarkdownTime, גרסה פגיעה של השירות Commonmarker מאפשרת לתוקף לפרוס התקפת DoS פשוטה שתשבית אינספור שירותים עסקיים דיגיטליים ברחבי העולם על ידי שיבוש צינורות פיתוח היישומים שלהם. מידע נוסף על הפגיעות וכיצד לצמצם את הסיכונים ניתן למצוא בפוסט הגילוי הטכני כאן.

Markdown מתייחס ליצירת טקסט מעוצב באמצעות עורך טקסט רגיל שנמצא בדרך כלל בכלים ובסביבות פיתוח תוכנה. מגוון רחב של יישומים ופרויקטים מיישמים את ספריות הקוד הפתוח הפופולריות של Markdown, כמו הגרסה הפופולרית המשולבת ביישום של GitHub - GFM (GitHub Flavored Markdown). במקרה זה, חוקרי Legit Security מצאו כי מאוד פשוט להוביל לפעולה שתגרום למיצוי משאבים בלתי מוגבל המוביל להתקפת מניעת שירות שעלולה להפיל את השירות. לאחר שהפנו את תשומת הלב של צוות האבטחה של GitHub לפגיעות הזו, השירות זיהה את הבעיה ופרסם אישור ותיקון רשמיים שניתן למצוא כאן: CVE-2022-39209. יש לציין שגם כלים ושירותים רבים אחרים עשויים להיות רגישים לאותה פגיעות.

"ספריות קוד פתוח נמצאות בכל מקום בפיתוח תוכנה מודרני, אבל כשצצות פגיעויות, יכול להיות מאוד קשה לעקוב אחריהן בגלל עותקים לא מבוקרים של הקוד הפגיע המקורי", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף של Legit Security. "כאשר ספריה הופכת לפופולרית ונפוצה, פגיעות בתוכה עלולה לאפשר התקפה על אינספור פרויקטים. התקפות אלו יכולות לכלול הפרעה לשירותים עסקיים קריטיים, כמו פגיעה בשרשרת אספקת התוכנה והיכולת לשחרר יישומים עסקיים חדשים".

זה בדיוק מה שצוות המחקר של Legit Security מצא בהקשר של MarkdownTime: עותק של יישום ה-GFM הפגיע נמצא ב-Commonmarker, חבילת Ruby הפופולרית המיישמת תמיכה ב-Markdown, לה יש יותר ממיליון מאגרים תלויים. צוות Legit Security מצא הטמעה במספר שירותי ניהול קוד מקור קריטיים לעסקים, ביניהם GitHub ו-GitLab. באמצעות ניצול זה, תוקף לא מאומת יכול להפיל צינורות ייצור תוכנה שלמים ולגרום נזק משמעותי ליוזמות העסקיות הדיגיטליות של הארגון. שירותים רבים אחרים מעבר לסביבות פיתוח תוכנה בלבד עלולים להיות פגיעים לשיבוש עסקי יקר.

צוות המחקר של Legit Security חשף את סוגיית האבטחה הזו לגוף המתחזק את Commonmarker, כמו גם ל-GitHub וגם ל-GitLab. כולם תיקנו את הבעיות, אך עותקים רבים נוספים של יישום ה-Markdown הזה נפרסו ונמצאים בשימוש.

תיאור מעמיק של MarkdownTime, יחד עם מידע על אופן ההגנה על ארגונים ופרויקטים, ניתן למצוא בבלוג של Legit Security .

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller
OutVox
[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
תזכורת למועד לתביעה נגד BMBL: רוזן, יועץ למשקיעים מיומן, מעודד את משקיעי Bumble Inc לקבל ייעוץ
תזכורת למועד לתביעה נגד BMBL: רוזן, יועץ למשקיעים מיומן, מעודד את משקיעי Bumble Inc לקבל ייעוץ לפני תאריך יעד חשוב של 25 בנובמבר בתביעה ייצוגית בניירות ערך – BMBL

התראת מועד לתביעה נגד FNA: רוזן, יועץ למשקיעים גלובלי, מעודד משקיעים ב- Paragon 28, Inc שצברו הפסדים העולים על 100 אלף דולר להבטיח ייעוץ
התראת מועד לתביעה נגד FNA: רוזן, יועץ למשקיעים גלובלי, מעודד משקיעים ב- Paragon 28, Inc שצברו הפסדים העולים על 100 אלף דולר להבטיח ייעוץ לפני תאריך יעד חשוב של 29 בנובמבר בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי החברה - FNA

רוזן, משרד עורכי דין מוביל לזכויות משקיעים, מעודדים את משקיעי iLearningEngines, Inc לקבל ייעוץ
רוזן, משרד עורכי דין מוביל לזכויות משקיעים, מעודדים את משקיעי iLearningEngines, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – AILE

רוזן, יועץ למשקיעים מוביל, מעודד את משקיעי Humacyte, Inc לקבל ייעוץ
רוזן, יועץ למשקיעים מוביל, מעודד את משקיעי Humacyte, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – HUMA

רוזן, יועץ גלובלי המדורג במקום הראשון, מעודד את המשקיעים ב- WM Technology, Inc להבטיח ייעוץ
רוזן, יועץ גלובלי המדורג במקום הראשון, מעודד את המשקיעים ב- WM Technology, Inc להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך שהוגשה לראשונה על ידי החברה – MAPS

אנדרסן מקדמת את פעילות הערכת השווי הגלובלית ב-10 מדינות באזור אסיה-פסיפיק
אנדרסןAndersen , חברת השירותים המקצועיים הרב-תחומיים העצמאית בעלת קצב הצמיחה המהיר ביותר בעולם, ממשיכה להרחיב את פעילות הערכת השווי הגלובלית שלה ולהעמיק את קשריה באזור אסיה-פסיפיק באמצעות ההוספה של חברות שותפות באוסטרליה, בסין, באינדונזיה, במלזיה, בפיליפינים, בסינגפור, בקוריאה הדרומית, בטאיוואן ובווייטנאם.

Xsolla מרחיבה את מיצובה המוביל בתחום החידושים ופיתוחי המשחקים ב-APAC, באמצעות שותפות אסטרטגיות חדשות עם העיר בוסאן וחברת BDAN
Xsolla תקים את מטה APAC, תרחיב את ההזדמנויות להתפתחות של כישורים ותעודד פיתוחי Web3 בבוסאן

Advanced Communications and Electronic Systems (ACES) ו-Radisys חותמות על מזכר הבנות להאצת החדשנות והפיתוח של רשתות 5G אלחוטיות פתוחות (ORAN)
Advanced Communications and Electronic Systems Company (ACES), חברה חדשנית מובילה בתחום הטכנולוגיה אשר בסיסה בסעודיה, ו-Radisys® Corporation, מובילה עולמית בפתרונות טלקום פתוחים, התקשרו ביניהן באמצעות מזכר הבנות (MoU) לצורך שיתוף פעולה בפיתוח טכנולוגיית G ORAN5 (Open Radio Access Network) ותאים סלולריים קטנים.

EVERPRETTY מכריזה על הצלחה ב-GESS 2024 ותופיע בקרוב גם ב-BIG 5 Global
EVERPRETTY, יצרנית הרהיטים לבתי הספר המובילה בעולם, סיימה זה עתה את התצוגה שלה ב-GESS, דובאי. האירוע, שהתקיים בין ה-12 ל-14 בנובמבר 2024 במרכז הסחר העולמי של דובאי, היה לביתם של הספקות ​​ופתרונות חינוכיים גלובליים חדשניים.

קבוצת Asahi משיקה יוזמת קיימות גלובלית: האתגר קורא לסטארט-אפים ולעסקים בצמיחה להניע חדשנות נטו אפס
Asahi Group Holdings, Ltd מכריזה על השקת פלטפורמת הצמיחה לקיימות, ויוצאת לדרך עם The Challenge (סביבה) – קריאה גלובלית לסטארט-אפים ולעסקים בצמיחה לקדם פתרונות סביבתיים פורצי דרך. יוזמה זו עולה בקנה אחד עם היעד של Asahi להשיג נטו אפס בכל שרשרת הערך שלה עד 2040.
     
 
שיווק באינטרנט על ידי WSI