GitHub.com roteert keys wegens lek waardoor credentials kunnen lekken

[Captain Kirk]

GitHub.com heeft wegens een kwetsbaarheid waardoor aanvallers toegang tot de omgevingsvariabelen van een productiecontainer kunnen krijgen besloten om verschillende keys te roteren. Daarnaast is er een beveiligingsupdate voor het probleem in GitHub Enterprise Server (GHES) uitgebracht. De kwetsbaarheid (CVE-2024-0200) werd op 26 december op GitHub.com verholpen, waarop het platform begon om alle mogelijk blootgestelde credentials te roteren.

Het roteren van de credentials op GitHub.com zorgde eind december gedurende meerdere dagen voor verstoringen op het platform. Volgens GitHub heeft het roteren van de meeste keys geen gevolgen voor klanten, op een aantal na die het gisteren roteerde en extra handelingen kunnen vereisen. Zo is de GitHub commit signing key die wordt gebruikt voor het signen van commits op GitHub verlopen. Sinds gisteren wordt er voor alle commits een nieuwe key gebruikt. Vanaf 23 januari zullen nieuwe commits die nog met de vorige key zijn gesigneerd niet langer geverifieerd zijn.

Ontwikkelaars die commits op GitHub.com buiten GitHub verifiëren, waaronder verificatie in GHES, moeten de nieuwe public key in hun omgeving importeren. Tevens zijn ook keys voor GitHub Actions, GitHub Codespaces en Dependabot vervangen. Gebruikers die nog van deze keys gebruikmaken kunnen met foutmeldingen te maken krijgen. GitHub stelt dat het geen aanwijzingen heeft gevonden dat aanvallers misbruik van de kwetsbaarheid hebben gemaakt, maar het vanwege procedures in alle gevallen keys roteert wanneer een derde partij daar toegang toe kan hebben gehad.

Het beveiligingslek is zoals gezegd ook aanwezig in GitHub Enterprise Server, maar vereist daar dat een aanvaller over een bepaalde rol beschikt om het lek te kunnen misbruiken, wat volgens GitHub de kans op misbruik aanzienlijk verkleint. GitHub.com is een populair platform voor softwareontwikkelaars en softwareprojecten en is na een miljardenovername al enige tijd eigendom van Microsoft.

 

 

bron: https://www.security.nl