GitHub thu hồi các khóa xác thực SSH có mức độ bảo mật kém
Nền tảng lưu trữ mã nguồn GitHub đã thu hồi các khóa xác thực SSH yếu do phần mềm quản lý mã nguồn GitKraken git GUI client tạo ra thông qua một lỗ hổng trong thư viện bên thứ ba làm tăng khả năng xuất hiện các khóa xác thực SSH trùng lặp.
Để tăng biện pháp đề phòng, công ty do Microsoft sở hữu cũng cho biết họ đang xây dựng hàng rào phòng vệ để ngăn chặn sự gia tăng các SSH yếu do các phiên bản bảo mật kém của phần mềm quản lý mã nguồn GitKraken gần đây tạo ra.
Dependency gây ra vấn đề (gọi là “keypair”) là một thư viện tạo khóa SSH nguồn mở cho phép người dùng tạo ra các khóa mã hóa bất đối xứng (RSA keys) cho các mục đích liên quan đến xác thực. Nó bị phát hiện đã ảnh hưởng đến các phiên bản GitKraken 7.6.x, 7.7.x và 8.0.0, được phát hành từ ngày 12/5/2021 đến ngày 27/9/2021.
Lỗ hổng bảo mật có định danh CVE-2021-41117 (Điểm CVSS: 8,7) – liên quan đến bug trong quá trình tạo số giả ngẫu nhiên được thư viện khai thác dẫn đến việc hình thành một dạng khóa xác thực SSH yếu hơn do số đo mức độ ngẫu nhiên (entropy) thấp- có thế làm tăng xác suất trùng lặp khóa.
Trong một tư vấn bảo mật được công bố ngày 11/10, thành viên của đội ngũ phát triển thư viện keypair, Julian Gruber cho biết: “Điều này có thể giúp kẻ tấn công giải được mã của các tin nhắn bảo mật hoặc truy cập không xác thực vào tài khoản của nạn nhân.” Vấn đề này đã được xử lý trong thư viện keypair phiên bản 1.0.4 và GitKraken phiên bản 8.0.1
Kỹ sư của công ty công nghệ Axosoft, Dan Suceave đã phát hiện được lỗ hổng bảo mật trong khi đó kỹ sư an toàn thông tin của GitHub, Kevin Jones đã thực hiện nhiệm vụ xác nhận nguyên nhân và vị trí mã nguồn của bug. Vào thời điểm đó, không có bằng chứng nào cho thấy lỗ hổng bị khai thác trên diện rộng để xâm phạm các tài khoản.
Những nạn nhân được khuyến nghị nên xét duyệt và xóa bỏ “tất cả các khóa xác thực SSH cũ được lưu trữ cục bộ của GitKraken”, đồng thời “tạo ra các khóa xác thực SSH mới bằng phiên bản GitKraken 8.0.1 trở lên cho từng nhà cung cấp dịch vụ Git của họ” chẳng hạn như GitHub, GitLab, và Bitbucket.
Cập nhật: Cùng với GitHub, Microsoft Azure DevOps, GitLab và Atlassian Bitbucket cũng đã bắt đầu thu hồi hàng loạt các khóa xác thực SSH liên kết với những tài khoản được GitKraken client dùng để đồng bộ hóa mã nguồn, đồng thời buộc người dùng thu hồi các public key xác thực và tạo ra các khóa mới bằng bản cập nhật phần mềm.
Theo The Hacker News
TIN CÙNG CHUYÊN MỤC
Lưu ý cập nhật ngay bản vá lỗ hổng Googl...
Apple tung ra bản vá iOS, macOS và Safar...
Microsoft mặc định cài ứng dụng HP Smart...
Phần mềm độc hại Android FjordPhantom mớ...
Google Chrome đang bị tấn công tích cực,...
3 lưu ý trước khi xóa trình quản lý mật ...
-
Quảng cáo Google độc hại lừa người dùng WinSCP cài...
-
DarkCasino mối đe doạ APT mới nổi đang khai thác l...
-
Cách khắc phục thông báo lỗi "Giải phóng dung lượn...
-
Tin tặc có thể khai thác Google Workspace và Cloud...
-
Bạn có thể làm gì để khắc phục lỗ hổng Zero Day củ...
-
Google cảnh báo cách tin tặc có thể lạm dụng dịch ...
-
Chương trình khuyến mãi Vòng Quay May Mắn 2023
-
Lưu ý cập nhật ngay bản vá lỗ hổng Google mới nhất
-
Apple tung ra bản vá iOS, macOS và Safari cho 2 lỗ...
-
Microsoft mặc định cài ứng dụng HP Smart trên Wind...
-
Phần mềm độc hại Android FjordPhantom mới nhắm mục...
-
Google Chrome đang bị tấn công tích cực, khai thác...
TAGS
LIÊN HỆ
