建站
咨詢
售后
建站咨詢
新聞中心
Github被發(fā)現(xiàn)存在一個高危漏洞，基本上所有擁有復(fù)雜Github Actions的項目都容易被攻擊。這個CVE代號為CVE-2020-15228的漏洞是由Google旗下著名的Project Zero網(wǎng)絡(luò)安全團隊在7月份時發(fā)現(xiàn)的。由于Project Zero之前改變了其對于公布漏洞的政策，因此他們給了Github整整90天的時間去修復(fù)這個漏洞。Github其后在10月份時棄用了易受攻擊的指令，并且也使用戶發(fā)出了安全警示提醒他們要盡快更新工作流。而在10月中的時候，Project Zero又給予了Github額外14天的寬限期。就在這個限期屆滿前，Github向Project Zero申請延長限期48小時來通知更多的用戶以及決定甚么時候可以修好這個漏洞。
讓客戶滿意是我們工作的目標，不斷超越客戶的期望值來自于我們對這個行業(yè)的熱愛。我們立志把好的技術(shù)通過有效、簡單的方式提供給客戶，將通過不懈努力成為客戶在信息化領(lǐng)域值得信任、有價值的長期合作伙伴，公司提供的服務(wù)項目有：域名注冊、網(wǎng)站空間、營銷軟件、網(wǎng)站建設(shè)、吳中網(wǎng)站維護、網(wǎng)站推廣。
CV-2020-15228是一個代碼注入攻擊，而Github Actions中的各種工作流指令是極為容易受到這類攻擊。這些指令是在執(zhí)行動作以及Action Runner中的溝通渠道存在的。Google高級信息安全工程師Felix Wilhem在一份Project Zero的報告中表示：
“這個功能(工作流指令)的最大問題在于它極易受到代碼注入攻擊。當運行程序在解析STDOUT上的每一行文字嘗試尋找工作流指令時，所有列出未受信任內(nèi)容所為執(zhí)行的一部分的Github動作都很容易被攻擊。在大多數(shù)情況下，可設(shè)置任意環(huán)境變量這個特性，只要當另一個工作流在執(zhí)行后，最終都很有可能會被用作遠程執(zhí)行代碼。我花了些時間在Github的存儲庫中檢查，發(fā)現(xiàn)只要是有點復(fù)雜的Github動作都容易被攻擊?！?/p>
Felix Wilhem還表示，Github要修復(fù)這個漏洞會是比較困難的，因為工作流指令的實現(xiàn)方式從根本上來說是不安全的，棄用那些部分指令只是一個臨時的解決方法，要徹底修復(fù)就需要把工作流指令移動到其他地方，雖然這樣做會破壞掉某些依賴其的代碼。
網(wǎng)站名稱：Github現(xiàn)高危漏洞，不少項目都暴露在潛在危險中
當前鏈接：http://m.5511xx.com/article/cdsophd.html
