GitHub, bilinmeyen davetsiz misafirlerin bazı kod depolarına yetkisiz erişim elde ettiğini ve iki masaüstü uygulaması için kod imzalama sertifikalarını çaldığını söyledi: Masaüstü ve Atom.
Kod imzalama sertifikaları, bu durumda GitHub olan listelenen kuruluş tarafından geliştirildiğini doğrulamak için kodun üzerine bir kriptografik damga yerleştirir. Sertifikaların şifresi çözülürse, bir saldırganın uygulamaların kötü niyetle kurcalanmış resmi olmayan sürümlerini imzalamasına ve bunları GitHub’dan meşru güncellemeler olarak devretmesine izin verebilir. Desktop ve Atom’un mevcut sürümleri, kimlik bilgilerinin çalınmasından etkilenmez.
“Bir dizi şifreli kod imzalama sertifikası çalındı; ancak, sertifikalar parola korumalıydı ve kötü niyetli kullanıma dair hiçbir kanıtımız yok” danışma. “Önleyici bir önlem olarak, GitHub Masaüstü ve Atom uygulamaları için kullanılan açıktaki sertifikaları iptal edeceğiz.”
Perşembe günü yürürlüğe girecek olan iptaller, uygulamaların belirli sürümlerinin çalışmamasına neden olacak. Bu uygulamalar:
Aşağıdaki sürümlere sahip Mac için GitHub Desktop:
- 3.1.2
- 3.1.1
- 3.1.0
- 3.0.8
- 3.0.7
- 3.0.6
- 3.0.5
- 3.0.4
- 3.0.3
- 3.0.2
Atom:
Windows için Masaüstü etkilenmez.
4 Ocak’ta GitHub, Tehdit aktörüne maruz kalmayan yeni sertifikalarla imzalanan Masaüstü uygulamasının yeni bir sürümünü yayınladı. Masaüstü kullanıcıları bu yeni sürüme güncelleme yapmalıdır.
Güvenliği ihlal edilmiş bir sertifikanın süresi 4 Ocak’ta sona erdi ve diğerinin süresi Perşembe günü dolacak. Bu sertifikaların iptal edilmesi, kötü amaçlı güncellemeleri imzalamak için sona erme tarihinden önce kullanıldıysa koruma sağlar. İptal olmaksızın, bu tür uygulamalar imza kontrolünden geçecektir. İptal, ne zaman imzalanmış olursa olsun, tüm kodların imza kontrolünde başarısız olmasına neden olur.
Etkilenen üçüncü bir sertifika olan Apple Developer ID sertifikasının süresi 2027’ye kadar dolmak üzere ayarlanmadı. GitHub bu sertifikayı da Perşembe günü iptal edecek. Bu arada GitHub, “Açığa çıkan sertifikayla imzalanmış yeni yürütülebilir dosyaları (uygulamalar gibi) izlemek için Apple ile birlikte çalışıyoruz” dedi.
6 Aralık’ta GitHub, tehdit aktörünün Desktop, Atom ve diğer kullanımdan kaldırılmış GitHub’a ait kuruluşlar için depoları klonlamak için güvenliği ihlal edilmiş bir kişisel erişim belirteci (PAT) kullandığını söyledi. GitHub, ihlali keşfettikten bir gün sonra PAT’ı iptal etti. Klonlanmış depoların hiçbiri müşteri verisi içermiyordu. Danışma belgesi, PAT’ın nasıl tehlikeye atıldığını açıklamadı.
Depolara, müşterilerin Desktop veya Atom ile çalışırken kullanabileceği “birkaç şifreli kod imzalama sertifikası” dahil edildi. Tehdit aktörünün herhangi bir sertifikanın şifresini çözebileceğine veya kullanabileceğine dair bir kanıt yok.
Danışma belgesi, “Güvenliği ihlal edilmiş depoların içeriğini araştırdık ve GitHub.com’a veya diğer tekliflerimize yukarıda belirtilen belirli sertifikalar dışında herhangi bir etki bulamadık” dedi. “Bu depolardaki kodda izinsiz değişiklik yapılmadı.”