GitHub เว็บฝากซอร์สโค้ดชื่อดังโดนแฮ็กเข้าเสียแล้ว โดยผ่านช่องโหว่ของโค้ดที่เขียนด้วย Ruby on Rails
เรื่องนี้จะซับซ้อนกว่าการแฮ็กทั่วๆ ไปอยู่สักหน่อย เพราะผู้ใช้ชื่อ homakov ได้แจ้งข่าวกับทีมงานของ GitHub ไปเมื่อ 3 วันก่อนว่าพบช่องโหว่ในระบบ ซึ่งทั้งสองฝ่ายก็ทำงานร่วมกันเพื่อปิดช่องโหว่นี้จนสำเร็จ
อย่างไรก็ตาม วันนี้ homakov พบช่องโหว่ใหม่และไม่แจ้งทาง GitHub เหมือนคราวก่อน (หรือแจ้งข่าวแต่ GitHub ไม่รับฟัง อันนี้ไม่มีใครรู้ได้) เขาเลยแฮ็กระบบโดยแทรก public key ของเขาเข้ามาในรายการรับรองของระบบ และเพิ่มไฟล์ใหม่ 1 อันเข้ามาใน GitHub ของโครงการ Ruby on Rails (ลิงก์ -- ตอนที่เขียนข่าวนี้ไฟล์ยังอยู่) เพื่อแสดงให้เห็นว่าเขาแฮ็กระบบได้
GitHub ได้แบนผู้ใช้รายนี้ไปชั่วคราวเพื่อตรวจสอบ และขอความร่วมมือให้ผู้ใช้รายอื่นๆ เข้ามาตามช่องทางมาตรฐานจะดีกว่า
ที่มา - GitHub (1), GitHub (2)
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
บางทีก็อาจจะอยากสร้างชื่อก็ได้นะครับ เผื่อบริษัทอื่นจะสนใจ
ไม่ได้ทำอะไรเสียหายเลยนี่นา
ตามลิงค์นี้ https://github.com/blog/1069-responsible-disclosure-policy ระบุว่าได้ระงับการใช้งานของ @homakov ชั่วคราวนะครับ ตรวจสอบแล้วไม่พบการกระทำที่ประสงค์ร้ายก็ใช้งานได้เหมือนเดิมแล้ว
ข่าวผิดนะครับ มันเป็นช่องโหว่ของการไม่ตรวจสอบรายการ (whitelist) parameter ที่รับเข้ามาครับ ทำให้มีช่องโหว่สามารถโดน XSS ได้ ซึ่งเป็นความผิดพลาดของทาง GitHub เองที่ไม่เขียนโค้ดให้ปลอดภัยครับ เพราะจริงๆ Rails มี configuration นี้มานานมากแล้ว แล้วก็ย้ำนักย้ำหนาเรื่องความสำคัญของมัน แต่ทาง GitHub ไม่ได้เปิดใช้งานครับ
ตอนนี้ทาง Rails Core Team เลยแก้ไขค่า default ให้นักพัฒนาต้องทำการ whitelist parameters ที่เข้ามาในรุ่นถัดๆ ไปแล้วครับ
บล็อกของผม: http://sikachu.com
แก้ตามนั้นครับ
เห็น How-To จากเจ้าตัวแว๊บๆ
ดูแล้วคล้ายๆ พวก injection ไม่เคยลอง RoR
เพราะครั้งแรกไม่จ่ายเงินให้เหรอ ? ครั้ง สองเลยจัดเลย