Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for GitHub

GitHub

Grafana memperbaiki kerentanan zero-day setelah eksploitasi tersebar di Twitter

by

Solusi analitik sumber terbuka dan visualisasi interaktif Grafana menerima pembaruan darurat hari ini untuk memperbaiki kerentanan zero-day yang memungkinkan akses jarak jauh ke file lokal.

Masalah ini mulai dipublikasikan awal minggu ini, sebelum Grafana Labs meluncurkan pembaruan untuk versi 8.0.0-beta1 yang terpengaruh hingga 8.3.0.

Sebelumnya, Grafana 8.3.1, 8.2.7, 8.1.8, dan 8.0.7 dirilis untuk memperbaiki kerentanan jalur traversal yang dapat memungkinkan penyerang untuk menavigasi di luar folder Grafana dan mengakses lokasi terbatas di server dari jarak jauh, seperti /etc/sandi/.

Grafana Labs menjelaskan bahwa masalahnya ada pada URL untuk plug-in yang diinstal, yang rentan terhadap serangan path traversal.

Karena semua instalasi Grafana memiliki satu set plugin yang diinstal secara default, jalur URL yang rentan ada di setiap instance aplikasi.

Namun laporan kedua menunjukkan bahwa informasi tentang masalah ini mulai menyebar, konfirmasi datang ketika berita tentang bug muncul di ruang publik.

Tidak butuh waktu lama untuk detail teknis bersama dengan proof-of-concepts (PoC) untuk mengeksploitasi bug agar tersedia di Twitter dan GitHub.

Sumber : Martin HSU

Karena bug yang dilaporkan secara pribadi telah menjadi zero-day yang bocor, Grafana Labs terpaksa menerbitkan perbaikannya:

  • 2021-12-06: Laporan kedua tentang kerentanan diterima
  • 2021-12-07: Kami menerima informasi bahwa kerentanan telah bocor ke publik, mengubahnya menjadi 0day
  • 2021-12-07: Keputusan dibuat untuk rilis secepat mungkin
  • 2021-12-07: Rilis pribadi dengan masa tenggang 2 jam yang dikurangi, bukan jangka waktu 1 minggu yang biasa
  • 2021-12-07: Rilis publik

Dilacak sebagai CVE-2021-43798, cacat tersebut menerima skor keparahan 7,5 dan masih dapat dieksploitasi di server lokal yang belum diperbarui.

Instance Grafana Cloud belum terpengaruh, kata pengembang hari ini.

Menurut laporan publik, ada ribuan server Grafana yang terekspos di internet publik. Jika memperbarui instance yang rentan tidak mungkin dilakukan secara tepat waktu, disarankan untuk membuat server tidak dapat diakses dari web publik.

Sumber : Bleeping Computer

GitHub mendesak pengguna untuk mengaktifkan 2FA setelah menerapkan passwordless

by

GitHub mendesak basis penggunanya untuk mengaktifkan otentikasi dua faktor (2FA) setelah menghentikan otentikasi berbasis kata sandi untuk operasi Git.

“Jika Anda belum melakukannya, luangkan waktu ini untuk mengaktifkan 2FA untuk akun GitHub Anda,” kata Chief Security Officer perusahaan Mike Hanley.

“Manfaat otentikasi multifaktor didokumentasikan secara luas dan melindungi dari berbagai serangan, seperti phishing.”

Hanley merekomendasikan untuk menggunakan salah satu dari beberapa opsi 2FA yang tersedia di GitHub, termasuk kunci keamanan fisik, kunci keamanan virtual yang ada di dalam perangkat seperti ponsel dan laptop, atau aplikasi Time-based One-Time Password (TOTP).

Sementara 2FA berbasis SMS juga tersedia, GitHub mendesak pengguna untuk memilih kunci keamanan atau TOTP sebisa mungkin karena SMS kurang aman mengingat pelaku ancaman dapat mem-bypass atau mencuri token autentikasi SMS 2FA.

GitHub juga menyediakan panduan video langkah demi langkah tentang cara mengaktifkan kunci keamanan untuk kunci SSH dan verifikasi komit Git.

Menegakkan otentikasi tanpa kata sandi melalui operasi Git penting karena meningkatkan ketahanan akun GitHub terhadap upaya pengambilalihan dengan mencegah upaya penyerang untuk menggunakan kredensial yang dicuri atau kata sandi yang digunakan kembali untuk membajak akun.

Selengkapnya: Bleeping Computer

GitHub bug bounties: pembayaran melonjak melewati $1,5 juta

by

Lebih dari setengah juta dolar telah dikeluarkan sebagai hadiah bagi para peneliti yang berpartisipasi dalam program bug bounty GitHub selama setahun terakhir, sehingga total pembayaran menjadi lebih dari $1,5 juta.

Vendor milik Microsoft telah mengoperasikan Program Bug Bounty Keamanan GitHub selama tujuh tahun.

Program bug bounty sekarang menjadi cara umum bagi vendor untuk mendapatkan bantuan dari peneliti pihak ketiga dalam mengamankan produk dan layanan. Bertahun-tahun yang lalu, terkadang sulit untuk mengungkapkan bug secara pribadi dan banyak perusahaan tidak memiliki kontak atau portal khusus untuk laporan kerentanan — tetapi sekarang, hadiah kredit dan finansial sering ditawarkan.

Vendor mengatakan bahwa 2020 “adalah tahun tersibuk” untuk program GitHub.

“Dari Februari 2020 hingga Februari 2021, kami menangani volume pengiriman yang lebih tinggi daripada tahun sebelumnya,” kata GitHub.

Secara total, 1.066 laporan bug dikirimkan di seluruh program publik dan pribadi GitHub — yang terakhir difokuskan pada produk beta dan pra-rilis — sepanjang tahun, dan $524.250 diberikan untuk 203 kerentanan. Sejak 2016, saat GitHub meluncurkan program publiknya di HackerOne, hadiah kini telah mencapai $1.552.004.

GitHub juga beroperasi di bawah prinsip Safe Harbor, di mana bug bounty hunter yang mematuhi kebijakan pengungkapan yang bertanggung jawab, dilindungi dari segala potensi konsekuensi hukum dari penelitian mereka.

Selengkapnya: ZDNet

GitHub menonaktifkan pelacakan pengguna Google FloC di situsnya

by

Kemarin, GitHub mengumumkan peluncuran header HTTP misterius di semua situs Halaman GitHub. Halaman GitHub memungkinkan pengguna membuat situs web langsung dari dalam repositori GitHub mereka.

Dan ternyata, header ini, yang sekarang dikembalikan oleh situs GitHub, sebenarnya dimaksudkan bagi pemilik situs web untuk menyisih dari pelacakan Google FLoC.

BleepingComputer juga memperhatikan bahwa seluruh domain github.com memiliki header ini, menunjukkan GitHub tidak ingin pengunjungnya disertakan dalam “kelompok” Google FLoC saat mengunjungi halaman GitHub mana pun.

Google FLoC adalah teknologi yang lebih baru untuk menggantikan pelacakan cookie pihak ketiga tradisional yang digunakan oleh jaringan iklan dan platform analitik untuk melacak pengguna di seluruh web.

Seperti dilansir BleepingComputer sebelumnya, pemilik situs web yang tidak ingin menjadi bagian dalam FLoC dapat memblokirnya dengan menggunakan header permintaan HTTP berikut kepada pengunjung mereka:

Permissions-Policy: interest-cohort=()

Header ini memungkinkan situs untuk menyisih dari FLoC, dalam artian, kunjungan ke situs yang mengembalikan header HTTP ini akan diabaikan oleh browser web saat membuat data kelompok untuk pengguna.

Seperti yang dilihat oleh BleepingComputer, baik domain *.github.com dan situs Halaman GitHub yang dihosting di *.github.io menggunakan header HTTP ini pada saat penulisan:

Sumber: Bleeping Computer

Selengkapnya: Bleeping Computer

Kritikus muncul setelah Github menghapus kode eksploitasi untuk kerentanan Exchange

by

Github telah memicu badai api setelah repositori berbagi kode milik Microsoft menghapus eksploitasi bukti konsep untuk kerentanan kritis di Microsoft Exchange yang telah menyebabkan sebanyak 100.000 infeksi server dalam beberapa minggu terakhir.

ProxyLogon adalah nama yang diberikan peneliti untuk empat kerentanan Exchange yang diserang di alam liar dan kode yang mengeksploitasinya. Para peneliti mengatakan bahwa Hafnium, sebuah grup peretas yang disponsori negara yang berbasis di China, mulai mengeksploitasi ProxyLogon pada bulan Januari, dan dalam beberapa minggu, lima APT lainnya — kependekan dari grup ancaman persisten tingkat lanjut — mengikutinya. Sampai saat ini, tidak kurang dari 10 APT telah menggunakan ProxyLogon untuk menargetkan server di seluruh dunia.

Pada hari Rabu, seorang peneliti menerbitkan apa yang diyakini sebagai eksploitasi bukti-konsep (PoC) pertama yang berfungsi untuk kerentanan. Berbasis di Vietnam, peneliti juga menerbitkan postingan di Medium yang menjelaskan cara kerja exploit. Dengan beberapa penyesuaian, peretas akan memiliki sebagian besar dari apa yang mereka butuhkan untuk meluncurkan RCE mereka sendiri di alam liar, kata keamanan untuk eksploitasi eksekusi kode jarak jauh.

Menerbitkan eksploitasi PoC untuk kerentanan yang ditambal adalah praktik standar di antara peneliti keamanan. Ini membantu mereka memahami cara kerja serangan sehingga mereka dapat membangun pertahanan yang lebih baik. Kerangka peretasan Metasploit open source menyediakan semua alat yang dibutuhkan untuk mengeksploitasi puluhan ribu eksploitasi yang ditambal dan digunakan oleh topi hitam dan topi putih.

Dalam beberapa jam setelah PoC ditayangkan, Github menghapusnya. Pada hari Kamis, beberapa peneliti mengomel tentang penghapusan tersebut. Kritikus menuduh Microsoft menyensor konten yang sangat penting bagi komunitas keamanan karena merugikan kepentingan Microsoft. Beberapa kritikus berjanji untuk menghapus sebagian besar karya mereka di Github sebagai tanggapan.

selengkapnya : Arstechnica

SitePoint diretas: Kata sandi yang di-hash dan dengan SALT yang diambil dari situs pembelajaran pengembang web melalui alat GitHub pwnage

by

SitePoint, situs web penerbitan belajar kode Australia, telah disusupi saat mempromosikan buku Hacking for Dummies di beranda.

Pembaca Reg Andy memberi tahu kami: “Mendapat email dari SitePoint pagi ini yang mengatakan bahwa mereka telah diretas dan beberapa hal yang tidak penting (bagi mereka) seperti nama, alamat email, sandi berciri, dll mungkin telah dicuri. Bertepatan dengan peningkatan besar dalam spam yang saya terima, tetapi itu mungkin kebetulan. ”

Sebuah email yang dikirim ke pengguna SitePoint dan dilihat oleh The Register mengonfirmasi peretasan tersebut, meskipun pada saat penulisan, perusahaan belum mempublikasikan apa pun tentangnya di situs web atau akun media sosialnya.

Ini menyalahkan “alat pihak ketiga tanpa nama yang kami gunakan untuk memantau akun GitHub kami, yang disusupi oleh pihak jahat”.

Ia melanjutkan dengan mengatakan bahwa tidak ada data kartu kredit yang telah diakses dan kata sandi yang disimpan di-hash dan diasinkan. Kunci API yang relevan juga telah dirotasi dan sandi diubah.

Agak memalukan, peretasan tersebut bertepatan dengan promosi terkemuka di beranda SitePoint dari satu buku yang sangat relevan.

Sementara itu, pengguna SitePoint yang kesal masuk ke forum mereka untuk mulai mengeluh tentang peretasan tersebut.

selengkapnya : TheRegister

Malware yang dihosting di GitHub menghitung muatan Cobalt Strike dari gambar Imgur

by

Serangkaian malware baru ditemukan menggunakan file Word dengan makro untuk mengunduh skrip PowerShell dari GitHub.

Skrip PowerShell ini selanjutnya mengunduh file gambar yang sah dari layanan hosting gambar Imgur untuk memecahkan kode skrip Cobalt Strike pada sistem Windows.

Beberapa peneliti mengaitkan strain ini dengan MuddyWater (alias SeedWorm dan TEMP.Zagros), kelompok advanced persistent threat (APT) yang didukung pemerintah, pertama kali diamati pada tahun 2017 sementara terutama menargetkan entitas Timur Tengah.

Malware yang terlihat “seperti MuddyWater”, menurut peneliti Arkbird, dikirimkan sebagai makro yang disematkan dalam file Microsoft Word (*.doc) lama, dengan gaya grup APT. Dalam pengujian oleh BleepingComputer, ketika dokumen Word dibuka, dokumen tersebut menjalankan makro yang disematkan. Makro selanjutnya meluncurkan PowerShell.exe dan memberinya lokasi dari skrip PowerShell yang dihosting di GitHub.

Sumber: BleepingComputer

Skrip single-line PowerShell memiliki instruksi untuk mengunduh file PNG asli dari layanan hosting gambar Imgur. Meskipun gambar ini sendiri mungkin tidak berbahaya, nilai pikselnya digunakan oleh skrip PowerShell dalam menghitung muatan tahap berikutnya. Skrip yang didekodekan yang diperoleh dari manipulasi nilai piksel PNG adalah skrip Cobalt Strike.

Teknik menyembunyikan kode, data rahasia, atau muatan berbahaya dalam file biasa, seperti gambar, dikenal sebagai steganografi.

Peneliti telah menyediakan YARA rule yang dapat digunakan untuk mendeteksi varian di lingkungan Anda.

IOC yang terkait dengan dokumen Word yang berisi makro yang digunakan dalam kampanye malware ini diberikan di bawah ini:
d1c7a7511bd09b53c651f8ccc43e9c36ba80265ba11164f88d6863f0832d8f81
ed93ce9f84dbea3c070b8e03b82b95eb0944c44c6444d967820a890e8218b866

Jika Anda menerima dokumen Word yang mencurigakan dalam email phishing atau melalui cara lain, jangan membukanya atau menjalankan “makro” di dalamnya.

Sumber: Bleeping Computer

Kerentanan keamanan perangkat lunak open-source ada selama lebih dari empat tahun sebelum terdeteksi

by

Diperlukan rata-rata lebih dari empat tahun untuk menemukan kerentanan dalam perangkat lunak open source, area dalam komunitas keamanan yang perlu ditangani, kata para peneliti.

Menurut laporan State of the Octoverse tahunan GitHub, yang diterbitkan pada hari Rabu, ketergantungan pada proyek open source, komponen, dan library lebih umum dari sebelumnya.

Selama tahun 2020, GitHub menghitung lebih dari 56 juta pengembang di platform, dengan lebih dari 60 juta repositori baru sedang dibuat – dan lebih dari 1,9 miliar kontribusi ditambahkan – sepanjang tahun.

Dibandingkan dengan 2019, GitHub menemukan bahwa 94% proyek sekarang mengandalkan komponen open source, dengan rata-rata hampir 700 dependensi.

Rata-rata, kerentanan bisa tidak terdeteksi selama lebih dari empat tahun dalam proyek open source sebelum pengungkapan. Perbaikan kemudian biasanya tersedia hanya dalam waktu sebulan, yang menurut GitHub “menunjukkan peluang yang jelas untuk meningkatkan deteksi kerentanan”.

Namun, mayoritas bug dalam perangkat lunak open source tidak berbahaya. Sebaliknya, 83% dari peringatan CVE yang dikeluarkan oleh GitHub disebabkan oleh kesalahan dan human error – meskipun pelaku ancaman masih dapat memanfaatkannya untuk tujuan jahat.

Secara total, 17% kerentanan dianggap berbahaya – seperti varian backdoor – tetapi ini hanya memicu 0,2% peringatan, karena paling sering ditemukan dalam paket yang ditinggalkan atau jarang digunakan.

Menurut GitHub, 59% repositori aktif di platform akan menerima peringatan keamanan di tahun mendatang. Selama tahun 2020, Ruby dan JavaScript adalah yang paling mungkin menerima peringatan.

Sumber: ZDNet