Siber Muhbir

VulnCheck'in baş teknoloji sorumlusu Jacob Baines, paylaşılan bir raporda, "9.000'den fazla depo, GitHub kullanıcı adı değişiklikleri nedeniyle yeniden ele geçirmeye karşı savunmasız" dedi. "6.000'den fazla depo, hesap silme nedeniyle yeniden ele geçirmeye karşı savunmasızdı."

Toplu olarak, bu depolar en az 800.000 Go modül sürümünü oluşturur.

"Depo" ve "ele geçirme" kelimelerinin birleşiminden oluşan Repojacking, kötü niyetli bir aktörün açık kaynaklı yazılım tedarik zinciri saldırıları düzenlemek için aynı ada ve önceden var olan kullanıcı adına sahip bir depo oluşturmak için hesap kullanıcı adı değişikliklerinden ve silmelerinden yararlanmasına olanak tanıyan bir saldırı tekniğidir.

Bu Haziran ayının başlarında, bulut güvenlik firması Aqua, GitHub'daki milyonlarca yazılım havuzunun tehdide karşı savunmasız olduğunu açıkladı ve ad değişikliklerine uğrayan kuruluşları, bu tür kötüye kullanımları önlemek için yer tutucu olarak önceki adlarına sahip olduklarından emin olmaya çağırdı.

Go programlama dilinde yazılan modüller, npm veya PyPI gibi diğer paket yöneticisi çözümlerinden farklı olarak, GitHub veya Bitbucket gibi sürüm kontrol platformlarında yayınlandıkları için merkezi olmadıkları için repojacking'e karşı özellikle hassastır.

Baines, "Daha sonra herkes Go modülü aynasına talimat verebilir ve modülün ayrıntılarını önbelleğe pkg.go.dev verebilir" dedi. "Bir saldırgan yeni kullanılmayan kullanıcı adını kaydedebilir, modül deposunu çoğaltabilir ve proxy.golang.org ve go.pkg.dev için yeni bir modül yayınlayabilir."

Geliştiricilerin güvenli olmayabilecek paketleri kaldırmasını önlemek için GitHub, sahiplerin hesapları yeniden adlandırılmadan veya silinmeden önce 100'den fazla kez kopyalanmış kullanımdan kaldırılmış ad alanlarının adlarıyla depo oluşturma girişimlerini engelleyen popüler depo ad alanı kullanımdan kaldırma adlı bir karşı önlem uygulamıştır.

Ancak VulnCheck, bu korumanın, modül aynası tarafından önbelleğe alındıkları için Go modülleri söz konusu olduğunda yararlı olmadığını ve böylece bir depoyla etkileşim kurma veya klonlama ihtiyacını ortadan kaldırdığını belirtti. Başka bir deyişle, 100 defadan daha az klonlanmış popüler Go tabanlı modüller olabilir ve bu da bir tür baypas ile sonuçlanabilir.