דף הבית

Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache

פרסום המאמר באתרך

באפשרותך לפרסם את המאמר הזה באתרך בכפוף לתנאי השימוש .בפרסום המאמר עליך להקפיד על הכללים הבאים: יש לפרסם את כותרת המאמר, תוכנו, וכן פרטים אודות כותב המאמר. כמו כן יש לכלול קישור לאתר מאמרים עסקיים ומקצועיים (http://www.portal-asakim.com).

בחזרה למאמר

כותרת המאמר:


תקציר המאמר:
Legit Security, חברת אבטחת סייבר עם פלטפורמה תאגידית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה כי גילתה פגיעויות התקפה על שרשרת אספקת התוכנה בפרויקטים פופולריים בקוד פתוח מגוגל ואפאצ'י.

מילות מפתח:


קישור ישיר למאמר:


גירסת HTML:
<html> <head> <title>Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache</title> <meta name="description" content="Legit Security, חברת אבטחת סייבר עם פלטפורמה תאגידית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה כי גילתה פגיעויות התקפה על שרשרת אספקת התוכנה בפרויקטים פופולריים בקוד פתוח מגוגל ואפאצ'י."> <meta name="keywords" content="GLOBE NEWSWIRE, noy tikshoret"> <meta name="expires" CONTENT="never"> <meta name="language" CONTENT="hebrew"> <meta name="distribution" CONTENT="Global"> <meta name="robots" content="index, follow"> <meta http-equiv="Content-Type" content="text/html; charset=windows-1255"> </title> <body dir="rtl"> <h1>Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache</h1><br/> <br/><strong>נכתב על ידי: <a title="Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache" href="http://www.portal-asakim.com/Authors//Author576.aspx ">חיים נוי</a></strong><br/> <br/> <p align="center"><strong>Legit Security</strong><strong> מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה </strong><strong></strong><strong>של תוכנה בפרויקטי קוד פתוח של </strong><strong>Google Firebase</strong><strong> ו-</strong><strong>Apache</strong></p> <p><strong> </strong></p> <p>תל אביב, 14 בספטמבר 2022, (<strong>GLOBE NEWSWIRE</strong>) :</p> <p><a name="_Hlk114074345"></a><a href="https://www.globenewswire.com/Tracker?data=D1qhRhG3CxSOinkHkNcF8C_J85stcUFQpMyO-20YRF-cIfwLq93TC4wlct5ezrfyW0G8r_7R-T5tvFMZj2niYcZqLiJWGboUPxOmUSn2I5Q=" target="_blank">Legit Security</a>, חברת אבטחת סייבר עם פלטפורמה תאגידית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה כי גילתה פגיעויות התקפה על שרשרת אספקת התוכנה בפרויקטים פופולריים בקוד פתוח מגוגל ואפאצ'י. הפגיעות שהתגלתה משפיעה על GitHub, מערכת ניהול קוד מקור פופולרית ביותר שנמצאת בליבת שרשרת אספקת התוכנה של ארגונים רבים ומשמשת מפתחי תוכנה באופן גלובלי. צוות המחקר של Legit Security מצא סוג חדש של פגיעות CI/CD בשם <a href="https://www.globenewswire.com/Tracker?data=WyxHFCAgL9zSb4kK1PDm7XomXFdsGASJTcpZgNgLlHsfexYN5H2axQ7EZsQw1c4PC6gZZn_v_SrV--k5ddmQpeHVnyBl_ijd0DbN7uF6YA_gZNv05jcgkFuqxSYdQNNgtyr-BmGCphhlZ-xKMY0tmWaVLBn-NGMhyTqQ9HGxNHE=" target="_blank">GitHub Environment Injection</a> המאפשרת לתוקפים להשתלט על צינור ה-GitHub Actions CI/CD בפרויקט פגיע. כל משתמש GitHub יכול לנצל את הפגיעות הזו כדי לשנות את קוד המקור של הפרויקט, לגנוב סודות, לנוע לרוחב ולתקוף בתוך הארגון, ובסופו של דבר ליזום התקפת שרשרת אספקה דמוית SolarWinds. הפגיעות נמצאה בפרויקט Google Firebase ובפרויקט מסגרת אינטגרציה פופולרי מאוד מבית אפאצ'י. גוגל ואפאצ'י אישרו את הפגיעויות ותיקנו אותן לאחר החשיפה הראשונית של Legit Security. Legit Security פרסמה באתר האינטרנט שלה <a href="https://www.globenewswire.com/Tracker?data=xX-BkmLBYI-aVSBFZSi720rUiNjkQLjTtjFt9XVm8AnvpCTq-ZuDV2VSJ7jaWUZNKwbKRg89ySysbVMBpzy1J38B7K5hlgMeBsQkPv7FLZbd-MUuRRQ4kZAp7Romj_YVRoasl-E1B2omFC5sNZyz0g==" target="_blank">בלוג</a> גילוי טכני הכולל הנחיות לארגונים לתיקון פגיעות זו.</p> <p>צוות המחקר של Legit Security גילה כי מטען בעל מבנה מיוחד שנכתב למשתנה סביבת GitHub בשם GITHUB_ENV יכול לאפשר לתוקף לבצע קוד בצינור היעד ובכך לשנות את קוד המקור או לסכן את המאגר עצמו. כל משתמש GitHub יכול ליזום התקפה כזו והיא קלה מאוד ליישום. כל מה שצריך לעשות הוא ליצור "בקשת משיכה" או שינוי מוצע לקוד המקור. עצם הגשת בקשת המשיכה תפעיל את פעולת הבנייה עם הפגיעות ותבצע פשרה מוצלחת והתוקף לא צריך לקבל אישור סקירת קוד ממתחזק קוד המקור כדי שזה ייכנס לתוקף.</p> <p>הצוות Legit Security חשף את הבעיות הללו בפני מנהלי פרויקטים של גוגל ואפאצ'י, יחד עם הנחיות לתיקון, ואימת שהחולשות הללו לא נוצלו בידי שחקן מרושע. הפרויקטים תוקנו וכעת בטוחים. עם זאת, אלו אינם הפרויקטים היחידים הרגישים להתקפה מסוג זה. מכיוון שהשימוש בקובץ GITHUB_ENV נחשב כיום לדרך "הבטוחה" לשנות משתני סביבה ב-GitHub Actions, מאגרים רבים משתמשים בתזרימי עבודה שכותבים נתונים לא מהימנים לקובץ זה, מה שמשאיר אותם חשופים להתקפות שרשרת אספקה.</p> <p>"סוג זה של פגיעות מצטרף לפגיעויות רבות אחרות בשרשרת אספקת התוכנה והתקפות שמכוונות לפרויקטים פופולריים בקוד פתוח, כולל GitHub, שהוא הגדול ביותר והמארח דה פקטו של רוב פרויקטי הקוד הפתוח", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף ב-Legit Security. "אנחנו, כקהילת אבטחה, חייבים לבנות את הכלים והתהליכים כדי להתמודד עם האיומים הללו ולאפשר לארגונים לסמוך על תוכנה ולהשתמש בה בבטחה. כאן ב- Legit Security המשימה שלנו היא לאבטח את שרשרת אספקת התוכנה של כל ארגון ואנו מבצעים מחקרי אבטחה פעילים, ומשתפים פעולה ביוזמות להשגת מטרה זו".</p> <p>לדברי Gartner®, כמעט מחצית מהארגונים ברחבי העולם יחוו מתקפה על שרשראות אספקת התוכנה שלהם עד 2025, גידול של פי שלושה מ-2021. חלה עלייה עצומה בניסיונות לפגוע בפרויקטים של קוד פתוח ובשירותי בניית CI/CD, כולל GitHub Actions, כדי לאפשר התקפות נרחבות באמצעות שרשראות אספקת תוכנה.</p> <p>לניתוח מעמיק של הפגיעות GitHub Environment Injection, יחד עם מידע רחב יותר והדרכה כיצד להגן על הארגון שלכם מפני התקפות שרשרת אספקת תוכנה, בקרו באתר ובבלוג של Legit Security.</p> <p><strong>אודות</strong> <strong>Legit Security</strong></p> <p>Legit Security מגינה על שרשראות אספקת התוכנה מפני התקפה על ידי גילוי ואבטחת הצינורות, התשתית, הקוד והאנשים באופן אוטומטי, כך שעסקים יכולים להישאר בטוחים ובה בעת לאפשר שחרור תוכנה מהיר. Legit Security מספקת פתרון תוכנה כשירות קל ליישום התומך במשאבים בענן ובאופן מקומי ומשלב יכולות גילוי וניתוח אוטומטיים עם מאות מדיניות אבטחה שפותחו בידי מומחי תעשייה עם ניסיון אמיתי באבטחת SDLC. פתרון משולב זה שומר על אבטחת מפעל התוכנה שלך ומספק ביטחון מתמשך שהיישומים שלכם מושקים ללא פגיעויות.<img src="file:///C:/Users/haimn/AppData/Local/Temp/msohtmlclip1/01/clip_image002.gif" border="0" alt="" width="2" height="2" /></p> <p><strong>קשרי מדיה</strong></p> <p><strong> </strong></p> <p>Media Contact</p> <p>Tony Keller</p> <p>tkeller@outvox.com</p> <p>*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית <strong>GLOBE NEWSWIRE</strong></p> <br/><br/> <strong><u>פרטים אודות כותב המאמר</u></strong> <br/> <p><strong>חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים</strong></p> <br/><a href="http://www.portal-asakim.com"> מקור המאמר: אתר מאמרים עסקיים ומקצועיים</a>

גירסת טקסט:
Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache Legit Security מגלה ומסייעת לתקן פגיעויות בשרשרת האספקה של תוכנה בפרויקטי קוד פתוח של Google Firebase ו-Apache תל אביב, 14 בספטמבר 2022, (GLOBE NEWSWIRE) : Legit Security, חברת אבטחת סייבר עם פלטפורמה תאגידית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה כי גילתה פגיעויות התקפה על שרשרת אספקת התוכנה בפרויקטים פופולריים בקוד פתוח מגוגל ואפאצ'י. הפגיעות שהתגלתה משפיעה על GitHub, מערכת ניהול קוד מקור פופולרית ביותר שנמצאת בליבת שרשרת אספקת התוכנה של ארגונים רבים ומשמשת מפתחי תוכנה באופן גלובלי. צוות המחקר של Legit Security מצא סוג חדש של פגיעות CI/CD בשם GitHub Environment Injection המאפשרת לתוקפים להשתלט על צינור ה-GitHub Actions CI/CD בפרויקט פגיע. כל משתמש GitHub יכול לנצל את הפגיעות הזו כדי לשנות את קוד המקור של הפרויקט, לגנוב סודות, לנוע לרוחב ולתקוף בתוך הארגון, ובסופו של דבר ליזום התקפת שרשרת אספקה דמוית SolarWinds. הפגיעות נמצאה בפרויקט Google Firebase ובפרויקט מסגרת אינטגרציה פופולרי מאוד מבית אפאצ'י. גוגל ואפאצ'י אישרו את הפגיעויות ותיקנו אותן לאחר החשיפה הראשונית של Legit Security. Legit Security פרסמה באתר האינטרנט שלה בלוג גילוי טכני הכולל הנחיות לארגונים לתיקון פגיעות זו. צוות המחקר של Legit Security גילה כי מטען בעל מבנה מיוחד שנכתב למשתנה סביבת GitHub בשם GITHUB_ENV יכול לאפשר לתוקף לבצע קוד בצינור היעד ובכך לשנות את קוד המקור או לסכן את המאגר עצמו. כל משתמש GitHub יכול ליזום התקפה כזו והיא קלה מאוד ליישום. כל מה שצריך לעשות הוא ליצור "בקשת משיכה" או שינוי מוצע לקוד המקור. עצם הגשת בקשת המשיכה תפעיל את פעולת הבנייה עם הפגיעות ותבצע פשרה מוצלחת והתוקף לא צריך לקבל אישור סקירת קוד ממתחזק קוד המקור כדי שזה ייכנס לתוקף. הצוות Legit Security חשף את הבעיות הללו בפני מנהלי פרויקטים של גוגל ואפאצ'י, יחד עם הנחיות לתיקון, ואימת שהחולשות הללו לא נוצלו בידי שחקן מרושע. הפרויקטים תוקנו וכעת בטוחים. עם זאת, אלו אינם הפרויקטים היחידים הרגישים להתקפה מסוג זה. מכיוון שהשימוש בקובץ GITHUB_ENV נחשב כיום לדרך "הבטוחה" לשנות משתני סביבה ב-GitHub Actions, מאגרים רבים משתמשים בתזרימי עבודה שכותבים נתונים לא מהימנים לקובץ זה, מה שמשאיר אותם חשופים להתקפות שרשרת אספקה. "סוג זה של פגיעות מצטרף לפגיעויות רבות אחרות בשרשרת אספקת התוכנה והתקפות שמכוונות לפרויקטים פופולריים בקוד פתוח, כולל GitHub, שהוא הגדול ביותר והמארח דה פקטו של רוב פרויקטי הקוד הפתוח", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף ב-Legit Security. "אנחנו, כקהילת אבטחה, חייבים לבנות את הכלים והתהליכים כדי להתמודד עם האיומים הללו ולאפשר לארגונים לסמוך על תוכנה ולהשתמש בה בבטחה. כאן ב- Legit Security המשימה שלנו היא לאבטח את שרשרת אספקת התוכנה של כל ארגון ואנו מבצעים מחקרי אבטחה פעילים, ומשתפים פעולה ביוזמות להשגת מטרה זו". לדברי Gartner®, כמעט מחצית מהארגונים ברחבי העולם יחוו מתקפה על שרשראות אספקת התוכנה שלהם עד 2025, גידול של פי שלושה מ-2021. חלה עלייה עצומה בניסיונות לפגוע בפרויקטים של קוד פתוח ובשירותי בניית CI/CD, כולל GitHub Actions, כדי לאפשר התקפות נרחבות באמצעות שרשראות אספקת תוכנה. לניתוח מעמיק של הפגיעות GitHub Environment Injection, יחד עם מידע רחב יותר והדרכה כיצד להגן על הארגון שלכם מפני התקפות שרשרת אספקת תוכנה, בקרו באתר ובבלוג של Legit Security. אודות Legit Security Legit Security מגינה על שרשראות אספקת התוכנה מפני התקפה על ידי גילוי ואבטחת הצינורות, התשתית, הקוד והאנשים באופן אוטומטי, כך שעסקים יכולים להישאר בטוחים ובה בעת לאפשר שחרור תוכנה מהיר. Legit Security מספקת פתרון תוכנה כשירות קל ליישום התומך במשאבים בענן ובאופן מקומי ומשלב יכולות גילוי וניתוח אוטומטיים עם מאות מדיניות אבטחה שפותחו בידי מומחי תעשייה עם ניסיון אמיתי באבטחת SDLC. פתרון משולב זה שומר על אבטחת מפעל התוכנה שלך ומספק ביטחון מתמשך שהיישומים שלכם מושקים ללא פגיעויות. קשרי מדיה Media Contact Tony Keller tkeller@outvox.com *** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE נכתב על ידי חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים מקור המאמר:אתר מאמרים עסקיים ומקצועיים http://www.portal-asakim.com
בחזרה למאמר

לכותבי מאמרים

התחבר הרשמה למערכת שחזור סיסמה

מאמרים בקטגוריות
אימון אישי
אינטרנט והחיים ברשת
בידור ופנאי
ביטוח
בית משפחה וזוגיות
בניין ואחזקה
הודעות לעיתונות
חברה, פוליטיקה ומדינה
חוק ומשפט
חינוך ולימודים
מדעי החברה
מדעי הטבע
מדעי הרוח
מחשבים וטכנולוגיה
מיסים
מתכונים ואוכל
נשים
ספורט וכושר גופני
עבודה וקריירה
עיצוב ואדריכלות
עסקים
פיננסים וכספים
קניות וצרכנות
רוחניות
רפואה ובריאות
תחבורה ורכב
תיירות ונופש

שיווק באינטרנט על ידי WSI