Github现高危漏洞,不少项目都曝光在潜在危险中
发布时间:2021-11-14 01:29:28 所属栏目:安全 来源:互联网
导读:Github被发现存在一个高危漏洞,基本上所有拥有复杂Github Actions的项目都容易被攻击。这个CVE代号为CVE-2020-15228的漏洞是由Google旗下著名的Project Zero网络安全团队在7月份时发现的。由于Project Zero之前改变了其对于公布漏洞的政策,因此他们给了Gith
Github被发现存在一个高危漏洞,基本上所有拥有复杂Github Actions的项目都容易被攻击。这个CVE代号为CVE-2020-15228的漏洞是由Google旗下著名的Project Zero网络安全团队在7月份时发现的。由于Project Zero之前改变了其对于公布漏洞的政策,因此他们给了Github整整90天的时间去修复这个漏洞。Github其后在10月份时弃用了易受攻击的指令,并且也使用户发出了安全警示提醒他们要尽快更新工作流。而在10月中的时候,Project Zero又给予了Github额外14天的宽限期。就在这个限期届满前,Github向Project Zero申请延长限期48小时来通知更多的用户以及决定甚么时候可以修好这个漏洞。 CV-2020-15228是一个代码注入攻击,而Github Actions中的各种工作流指令是极为容易受到这类攻击。这些指令是在执行动作以及Action Runner中的沟通渠道存在的。Google高级信息安全工程师Felix Wilhem在一份Project Zero的报告中表示: “这个功能(工作流指令)的最大问题在于它极易受到代码注入攻击。当运行程序在解析STDOUT上的每一行文字尝试寻找工作流指令时,所有列出未受信任内容所为执行的一部分的Github动作都很容易被攻击。在大多数情况下,可设置任意环境变量这个特性,只要当另一个工作流在执行后,最终都很有可能会被用作远程执行代码。我花了些时间在Github的存储库中检查,发现只要是有点复杂的Github动作都容易被攻击。” (编辑:长春站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
相关内容
- linux centos上如何安装git并下载源码安装?
- FBI 意外发现 HelloKitty 勒索软件团伙在乌克兰活动
- windows下Idea使用git clone failed. Could not read from
- 针对使用“VC++”编写的“下载者”病毒的安全解决计划
- 关于提交项目到gitee报错Push to origin/master was reject
- 通付盾移动安全实验室发布2017移动互联网勒索病毒专项研究报
- 信息技术对国家安全与发展带来的风险和难题
- 网络攻击方法论正在被容器与无服务器计算改变
- 怎样使用Falco检测漏洞CVE-2020-8554
- ISC沙盒大赛为网安行业划核心各项大热