👩‍💻 Truffle Security обнаружила потенциальную уязвимость, которая позволяет извлекать данные из удалённых форков и приватных репозиториев на GitHub. Её назвали Cross Fork Object Reference (CFOR).

Этот недостаток в системе безопасности является частью архитектуры GitHub. Аналогичные особенности, которые могут привести к случайному раскрытию конфиденциальных данных, можно найти и в архитектурах многих других систем контроля версий.

Обычный пользователь рассматривает разделение частных и общедоступных репозиториев как границу безопасности и по понятным причинам считает, что любые данные, расположенные в частном репозитории, не могут быть доступны общедоступным пользователям. К сожалению, как мы отметили в нашем исследовании, это не всегда верно. Более того, акт удаления подразумевает уничтожение данных. Как мы видим, удаление репозитория или форка не означает, что ваши данные фиксации будут фактически удалены.

Специалисты Truffle Security опубликовали лишь 3 возможных сценария атаки. Они отмечают, что способов извлечь данные может быть намного больше. Команда настаивает, что единственным способом устранения утечки данных является ротация ключей доступа.

Вообще, трюк, позволяющий получить доступ к коммитам в форках репозитория через ссылку на основной репозиторий, уже давно известен и периодически используется just for lulz. Такие дела.

#уязвимость #GitHub

На ваших экранах — свежие новости из мира DevOps и системного администрирования.

🤩 В России возникла проблема с доступом к сайтам, использующих ECH Protocol от Cloudflare. Среди них — opensource.org, gitlab.io, doxygen.org.

ECH (Encrypted Client Hello) — это технология для TLS 1.3, которая позволяет скрывать от интернет-провайдеров адреса посещённых пользователем сайтов.

Протокол пришёл на замену менее надёжному ESNI. В отличие от ESNI, ECH шифрует не только SNI (Server Name Indication), а сразу всё сообщение ClientHello целиком. Эта функция была ненадолго активирована на серверах Cloudflare в 2023 году и стала снова доступна в октябре этого года.

В ночь с 5 по 6 ноября Роскомнадзор начал блокировать трафик, который шифруется через новую версию защиты от Cloudflare. При этом сайты версиями TLS 1.2 и ниже до сих пор работают без перебоев.

Почитать о костыльных решениях проблемы можно здесь.

upd: 7 ноября подведомственный Роскомнадзору ЦМУ ССOП порекомендовал отказаться от Cloudflare и перейти на российские решения. Центр отметил, что использование ECH нарушает российское законодательство.

Рекомендуем владельцам информационных ресурсов отключить расширение TLS ECH или, что правильнее, использовать отечественные CDN-сервисы, которые обеспечивают надёжное и безопасное функционирование ресурсов и защиту от компьютерных атак.

⚫️ Опубликовали патч для ядра Linux, который ускоряет прохождение теста per_thread_ops на 2.6%.

В патче используется маскирование указателей, что позволяет снизить количество медленных вызовов функции barrier_nospec(), применяемой в 64-битной версии функции copy_from_user().

🟡 GitHub выпустил Octoverse 2024 — ежегодный отчёт о состоянии индустрии open sourse. Если коротко:

• Разработчики со всего мира внесли более 1 миллиарда изменений в проекты с открытым исходным кодом. Из них — более 5,2 миллиарда изменений в 518 миллионов проектов на GitHub.
• Python впервые стал самым популярным языком на GitHub.
• Ожидается, что к 2028 году Индия обойдёт США по количеству разработчиков.

⚫️ В блоге Percona Пётр Зайцев высказался о проблемах MySQL и рассказал, как ей стать конкурентноспособной PostgreSQL. Спойлер: он предложил объединить усилия всех ключевых фигур проекта и создать альтернативу MySQL под новым брендом. Если вы не согласны, то можете поспорить с этим мнением в комментариях.

#devops #linux #cloudflare #github #mysql #postgresql