דף הבית הודעות לעיתונות עסקים, מימון וכספים Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים
חיים נוי 22/01/23 |  צפיות: 103

Legit Security חשפה את MarkdownTime, פגיעות בשירותי Markdown המשפיעה על GitHub, GitLab ושירותים רבים אחרים

תל אביב, 19 בינואר 2023, (GLOBE NEWSWIRE) :

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה היום כי גילתה פגיעות מסוג מניעת שירות (DoS) שקל לנצל בספריות Markdown המשמשות את GitHub, GitLab ואינספור יישומים אחרים המשתמשים בשירות ה-Markdown הפופולרי Commonmarker. עם הפגיעות המכונה MarkdownTime, גרסה פגיעה של השירות Commonmarker מאפשרת לתוקף לפרוס התקפת DoS פשוטה שתשבית אינספור שירותים עסקיים דיגיטליים ברחבי העולם על ידי שיבוש צינורות פיתוח היישומים שלהם. מידע נוסף על הפגיעות וכיצד לצמצם את הסיכונים ניתן למצוא בפוסט הגילוי הטכני כאן.

Markdown מתייחס ליצירת טקסט מעוצב באמצעות עורך טקסט רגיל שנמצא בדרך כלל בכלים ובסביבות פיתוח תוכנה. מגוון רחב של יישומים ופרויקטים מיישמים את ספריות הקוד הפתוח הפופולריות של Markdown, כמו הגרסה הפופולרית המשולבת ביישום של GitHub - GFM (GitHub Flavored Markdown). במקרה זה, חוקרי Legit Security מצאו כי מאוד פשוט להוביל לפעולה שתגרום למיצוי משאבים בלתי מוגבל המוביל להתקפת מניעת שירות שעלולה להפיל את השירות. לאחר שהפנו את תשומת הלב של צוות האבטחה של GitHub לפגיעות הזו, השירות זיהה את הבעיה ופרסם אישור ותיקון רשמיים שניתן למצוא כאן: CVE-2022-39209. יש לציין שגם כלים ושירותים רבים אחרים עשויים להיות רגישים לאותה פגיעות.

"ספריות קוד פתוח נמצאות בכל מקום בפיתוח תוכנה מודרני, אבל כשצצות פגיעויות, יכול להיות מאוד קשה לעקוב אחריהן בגלל עותקים לא מבוקרים של הקוד הפגיע המקורי", אמר ליאב כספי, מנהל טכנולוגיה ראשי ומייסד שותף של Legit Security. "כאשר ספריה הופכת לפופולרית ונפוצה, פגיעות בתוכה עלולה לאפשר התקפה על אינספור פרויקטים. התקפות אלו יכולות לכלול הפרעה לשירותים עסקיים קריטיים, כמו פגיעה בשרשרת אספקת התוכנה והיכולת לשחרר יישומים עסקיים חדשים".

זה בדיוק מה שצוות המחקר של Legit Security מצא בהקשר של MarkdownTime: עותק של יישום ה-GFM הפגיע נמצא ב-Commonmarker, חבילת Ruby הפופולרית המיישמת תמיכה ב-Markdown, לה יש יותר ממיליון מאגרים תלויים. צוות Legit Security מצא הטמעה במספר שירותי ניהול קוד מקור קריטיים לעסקים, ביניהם GitHub ו-GitLab. באמצעות ניצול זה, תוקף לא מאומת יכול להפיל צינורות ייצור תוכנה שלמים ולגרום נזק משמעותי ליוזמות העסקיות הדיגיטליות של הארגון. שירותים רבים אחרים מעבר לסביבות פיתוח תוכנה בלבד עלולים להיות פגיעים לשיבוש עסקי יקר.

צוות המחקר של Legit Security חשף את סוגיית האבטחה הזו לגוף המתחזק את Commonmarker, כמו גם ל-GitHub וגם ל-GitLab. כולם תיקנו את הבעיות, אך עותקים רבים נוספים של יישום ה-Markdown הזה נפרסו ונמצאים בשימוש.

תיאור מעמיק של MarkdownTime, יחד עם מידע על אופן ההגנה על ארגונים ופרויקטים, ניתן למצוא בבלוג של Legit Security .

אודות Legit Security

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

קשרי מדיה

Tony Keller
OutVox
tkeller@outvox.com

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE


דירוג המאמר:

תגיות של המאמר:

 חיים נוי

חיים נוי, עיתונאי, עורך ראשי של סוכנות החדשות הבינ"ל IPA, לשעבר עורך ראשי של סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים



 


מאמרים נוספים מאת חיים נוי
 
תחרות Huawei ICT הגלובלית לשנת 2022-2023 נערכה בשנזן - 146 צוותים מ-36 ארצות ואזורים זכו בפרסים
‏ב-27 במאי 2023 הסתיים השלב השביעי של תחרות הגמר Huawei ICT בשנזן לשנת 2022-2023. זהו האירוע הראשון אשר מתקיים פיזית מאז 2019, ושיאו היה תחרות בין מועמדי הגמר ב-146 צוותים מ-36 ארצות. לפני תחרות הגמר, למעלה מ-120,000 סטודנטים מלמעלה מ-2000 אוניברסיטאות ב-74 ארצות ואזורים ברחבי העולם לקחו חלק בתחרות ICT.

התראת דדליין סופי לתביעה נגד HSAI: רוזן, יועץ למשקיעים מהימן, מעודד את המשקיעים בקבוצת Hesai לקבל ייעוץ
התראת דדליין סופי לתביעה נגד HSAI: רוזן, יועץ למשקיעים מהימן, מעודד את המשקיעים בקבוצת Hesai לקבל ייעוץ לפני תאריך יעד חשוב של 6 ביוני בתביעה ייצוגית בניירות ערך שהגישה החברה – HSAI

תאריך יעד חשוב למשקיעי BIRD: רוזן, יועץ למשקיעים מהימן, מעודד את המשקיעים ב- Allbirds, Inc לקבל ייעוץ
תאריך יעד חשוב למשקיעי BIRD: רוזן, יועץ למשקיעים מהימן, מעודד את המשקיעים ב- Allbirds, Inc לקבל ייעוץ לפני תאריך יעד חשוב של 12 ביוני בתביעה ייצוגית בניירות ערך – BIRD

רוזן, יועץ למשקיעים גלובלי, מעודד את המשקיעים ב- Cutera, Inc לקבל ייעוץ
רוזן, יועץ למשקיעים גלובלי, מעודד את המשקיעים ב- Cutera, Inc לקבל ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – CUTR

הודעת מועד אחרון לתביעה נגד MPW: משרד עורכי הדין רוזן המוכר ברחבי העולם מעודד את המשקיעים ב- Medical Properties Trust, Inc. שצברו עודף הפסדים מעל 100 אלף דולר להבטיח ייעוץ
הודעת מועד אחרון לתביעה נגד MPW: משרד עורכי הדין רוזן המוכר ברחבי העולם מעודד את המשקיעים ב- Medical Properties Trust, Inc. שצברו עודף הפסדים מעל 100 אלף דולר להבטיח ייעוץ לפני תאריך יעד חשוב של 12 ביוני בתביעה ייצוגית בניירות ערך - MPW

התראת המועד האחרון לתביעה נגד GWGHQ: רוזן, יועץ גלובלי מדורג במקום הראשון, מעודד את המשקיעים ב- GWG Holdings, Inc שצברו עודף הפסדים העולים על 100 אלף דולר להבטיח ייעוץ
התראת המועד האחרון לתביעה נגד GWGHQ: רוזן, יועץ גלובלי מדורג במקום הראשון, מעודד את המשקיעים ב- GWG Holdings, Inc שצברו עודף הפסדים העולים על 100 אלף דולר להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – GWGHQ

Berliner Tageszeitung: תלונה פלילית בברלין, גרמניה, נגד אילון מאסק וטוויטר בגין הונאה אפשרית לרעת המשתמשים
עיתון ברלינר צייטונג BERLINER TAGESZEITUNG מדווח היום כי הוגשה תלונה פלילית נגד אילון מאסק למשרד התובע הכללי בברלין, מספר תיק: 253 UJs 1012/23, בטענה כי מאסק חייב את כרטיסי האשראי של משתמשי טוויטר אך השעה חשבונות טוויטר מאומתים מבלי לתת כל סיבה.

חברת 'גיא קרפנטר' מבית התאגיד הבינלאומי 'Marsh McLennan' תרכוש את Re Solutions, ברוקר ביטוח המשנה העצמאי המוביל בישראל
חברת 'גיא קרפנטר' (Guy Carpenter ) מבית התאגיד הבינלאומי 'Marsh McLennan'(NYSE: MMC) חברה גלובלית מובילה המתמחה בביטוח משנה וסיכון, הכריזה היום שתרכוש את Re Solutions, ברוקר ביטוח המשנה העצמאי המוביל בישראל. תנאי העסקה, הצפויה להיסגר מאוחר יותר במהלך הרבעון, לא סופקו.

כריס מקלוסקי מצטרף לדאק קריק כמנהל תפעול ראשי
דאק קריק טכנולוגיות - Duck Creek Technologies, ספקית הפתרונות החכמים המגדירה את עתיד ביטוחי הרכוש והנפגעים (P&C) ותעשיית הביטוח הכללי, הודיעה היום על צירופו של כריס מקלוסקי (Chris McCloskey) לצוות ההנהלה שלה כמנהל תפעול ראשי.

Hitachi Energy חותמת על הסכמים עם ENOWA וחברת החשמל הסעודית לתכנון ופיתוח השלב הראשון של מערכת ההולכה מלאת החזון באזור NEOM
שיתוף פעולה להאצת הפיתוח של NEOM בערב הסעודית עם עד 9 ג'יגה וואט של יכולת הולכת חשמל
     
 
שיווק באינטרנט על ידי WSI