דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
חיים נוי 22/01/23 |  צפיות: 58

Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים

תל אביב, 19 בינואר 2023, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה פגיעות מסוג מניעת שירות (DoS) שקל לנצל בספריות Markdown המשמשות את GitHub, GitLab ואינספור יישומים אחרים המשתמשים בשירות ה-Markdown הפופולרי Commonmarker. עם הפגיעות המכונה MarkdownTime, גרסה פגיעה של השירות Commonmarker מאפשרת לתוקף לפרוס התקפת DoS פשוטה שתשבית אינספור שירותים עסקיים דיגיטליים ברחבי העולם על ידי שיבוש צינורות פיתוח היישומים שלהם. מידע נוסף על הפגיעות וכיצד לצמצם את הסיכונים ניתן למצוא בפוסט הגילוי הטכני כאן.

Markdown מתייחס ליצירת טקסט מעוצב באמצעות עורך טקסט רגיל שנמצא בדרך כלל בכלים ובסביבות פיתוח תוכנה. מגוון רחב של יישומים ופרויקטים מיישמים את ספריות הקוד הפתוח הפופולריות של Markdown, כמו הגרסה הפופולרית המשולבת ביישום של GitHub - GFM (GitHub Flavored Markdown). במקרה זה, חוקרי Legit Security מצאו כי מאוד פשוט להוביל לפעולה שתגרום למיצוי משאבים בלתי מוגבל המוביל להתקפת מניעת שירות שעלולה להפיל את השירות. לאחר שהפנו את תשומת הלב של צוות האבטחה של GitHub לפגיעות הזו, השירות זיהה את הבעיה ופרסם אישור ותיקון רשמיים שניתן למצוא כאן: CVE-2022-39209. יש לציין שגם כלים ושירותים רבים אחרים עשויים להיות רגישים לאותה פגיעות.

"ספריות קוד פתוח נמצאות בכל מקום בפיתוח תוכנה מודרני, אבל כשצצות פגיעויות, יכול להיות מאוד קשה לעקוב אחריהן בגלל עותקים לא מבוקרים של הקוד הפגיע המקורי", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף של Legit Security. "כאשר ספריה הופכת לפופולרית ונפוצה, פגיעות בתוכה עלולה לאפשר התקפה על אינספור פרויקטים. התקפות אלו יכולות לכלול הפרעה לשירותים עסקיים קריטיים, כמו פגיעה בשרשרת אספקת התוכנה והיכולת לשחרר יישומים עסקיים חדשים".

זה בדיוק מה שצוות המחקר של Legit Security מצא בהקשר של MarkdownTime: עותק של יישום ה-GFM הפגיע נמצא ב-Commonmarker, חבילת Ruby הפופולרית המיישמת תמיכה ב-Markdown, לה יש יותר ממיליון מאגרים תלויים. צוות Legit Security מצא הטמעה במספר שירותי ניהול קוד מקור קריטיים לעסקים, ביניהם GitHub ו-GitLab. באמצעות ניצול זה, תוקף לא מאומת יכול להפיל צינורות ייצור תוכנה שלמים ולגרום נזק משמעותי ליוזמות העסקיות הדיגיטליות של הארגון. שירותים רבים אחרים מעבר לסביבות פיתוח תוכנה בלבד עלולים להיות פגיעים לשיבוש עסקי יקר.

צוות המחקר של Legit Security חשף את סוגיית האבטחה הזו לגוף המתחזק את Commonmarker, כמו גם ל-GitHub וגם ל-GitLab. כולם תיקנו את הבעיות, אך עותקים רבים נוספים של יישום ה-Markdown הזה נפרסו ונמצאים בשימוש.

תיאור מעמיק של MarkdownTime, יחד עם מידע על אופן ההגנה על ארגונים ופרויקטים, ניתן למצוא בבלוג של Legit Security .

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller
OutVox
[email protected]

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
ג'טקס לונדון מברכת את העולם
Jetex London מקדמת בברכה את העולם כאשר ה-FBO החדש ביותר של המותג פועל כעת באופן מלא

סלברייט ו-The Exodus Road ממשיכים להילחם בסחר בבני אדם בברזיל
Cellebrite DI Ltd. (נאסד"ק: CLBT), מובילה עולמית בפתרונות מודיעין דיגיטלי (DI) למגזר הציבורי והפרטי, ו-The Exodus Road, ארגון בינלאומי ללא מטרות רווח המתמחה בשיבוש סחר בבני אדם, הכריזו היום על ההשפעה של שיתוף הפעולה ביניהם בברזיל במהלך שנת 2022.

ריסקיפייד תדווח על התוצאות הכספיות לרבעון הרביעי ולשנה המלאה 2022 ביום חמישי 23 בפברואר
חברת Riskified Ltd. (NYSE: RSKD), מובילה בתחום הונאות מסחר אלקטרוני ובינת סיכונים, הודיעה היום כי תפרסם את התוצאות הכספיות לרבעון הרביעי ולשנה המלאה 2022 לפני פתיחת השוק ב-23 בפברואר 2023. באותו יום ההנהלה תארח שיחת ועידה ושידור אינטרנט בשעה 8:30 בבוקר ET)) כדי לדון בתוצאות העסקיות והפיננסיות של החברה.

יותר ממחצית המבקרים ב- teamLab Planets בטויוסו, טוקיו מגיעים כעת מעבר לים
החל מחודש מרץ, יצירות אמנות המציגות פריחת דובדבן ברחבי החלל יוצגו בעונת האביב בלבד

Elektros מתחילה במחקר היתכנות עבור פרויקט כריית ליתיום בסיירה לאון
Elektros הודיעה כי החלה בשיחות עם פרויקט כריית ליתיום בסיירה לאון, אפריקה

RevitaLash® Cosmetics רושמת עוד ניצחון גדול בתביעה נגד זייפנים
בית משפט פדרלי העניק ניצחון גדול נוסף לאתנה קוסמטיקס בע"מ - Athena Cosmetics, Inc (חברת האם של RevitaLash® Cosmetics) במאבקה נגד מוכרי מוצרים מזויפיםAMN Distribution, Inc. ומוישה ניומן.

מובילאיי חושפת את תוצאות הרבעון הרביעי והשנה כולה לשנת 2022 ואת העדכון העסקי
Mobileye Discloses Fourth-Quarter and Full-Year 2022 Results and Business Update

טויוטה טסושו, IIJ, NEC, ו-NTT Com חתמו על חוזה עם אוזבקטלקום לפרויקט פיתוח תשתיות טלקומוניקציה
תרומה למאמצי DX על ידי קידום תשתית המידע והתקשורת של אוזבקיסטן

EB5 Capital חוגגת גזירת סרט ב-Rivergate (JF28)
חברי צוות EB5 Capital, יחד למפתחים IDI Group Companies ו-PTM Partners בחגיגת טקס גזירת הסרט של Rivergate, הידוע גם בשם Viridium, פרויקט JF28 של EB5 Capital הממוקם בוודברידג', וירג'יניה. אירוע זה מהווה ציון דרך חשוב לפרויקט, השלב השני בבניה של קהילת דירות יוקרה הכוללת 720 יחידות להשכרה על פני 13.5 דונם.

מרכז הריצוף של דנטה גנומיקה בדובאי קיבל הסמכת מעבדה רפואית ISO 15189 כדי להביא ריצוף גנום שלם קליני למיליארד המטופלים הבאים
Dante Genomics, מובילה עולמית בתחום הגנומיקה והרפואה המדויקת, הודיעה כי המעבדה שלה בדובאי, המשמשת כמרכז עולמי לחצי הכדור המזרחי, קיבלה הסמכת מעבדה רפואית ISO 15189 כדי להביא ריצוף גנום שלם קליני לבתי חולים ורופאים במזרח התיכון, אסיה ואפריקה.
     
 
שיווק באינטרנט על ידי WSI