GitHub a r\u00e9v\u00e9l\u00e9 avoir effectu\u00e9 une rotation de certaines cl\u00e9s en r\u00e9ponse \u00e0 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 qui pourrait \u00eatre potentiellement exploit\u00e9e pour acc\u00e9der aux informations d’identification dans un conteneur de production.<\/p>\n
La filiale appartenant \u00e0 Microsoft a d\u00e9clar\u00e9 avoir \u00e9t\u00e9 inform\u00e9e du probl\u00e8me le 26 d\u00e9cembre 2023 et avoir r\u00e9solu le probl\u00e8me le m\u00eame jour, en plus d’avoir altern\u00e9 toutes les informations d’identification potentiellement expos\u00e9es par prudence.<\/p>\n
Les cl\u00e9s altern\u00e9es incluent la cl\u00e9 de signature de validation GitHub ainsi que les cl\u00e9s de chiffrement client GitHub Actions, GitHub Codespaces et Dependabot, ce qui oblige les utilisateurs qui comptent sur ces cl\u00e9s \u00e0 importer les nouvelles.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/GitHub-fait-pivoter-les-cles-apres-quune-vulnerabilite-de-haute.jpg\")
<\/a><\/center><\/div>\nIl n’existe aucune preuve que la vuln\u00e9rabilit\u00e9 de haute gravit\u00e9, consid\u00e9r\u00e9e comme CVE-2024-0200<\/a> (score CVSS : 7,2), a d\u00e9j\u00e0 \u00e9t\u00e9 trouv\u00e9 et exploit\u00e9 dans la nature.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 est \u00e9galement pr\u00e9sente sur GitHub Enterprise Server (GHES)”, Jacob DePriest de GitHub dit<\/a>. “Cependant, l’exploitation n\u00e9cessite un utilisateur authentifi\u00e9 avec un r\u00f4le de propri\u00e9taire de l’organisation<\/a> \u00eatre connect\u00e9 \u00e0 un compte sur l’instance GHES, ce qui constitue un ensemble important de circonstances att\u00e9nuantes pour une exploitation potentielle.<\/p>\n Dans un avis s\u00e9par\u00e9<\/a>, GitHub a caract\u00e9ris\u00e9 la vuln\u00e9rabilit\u00e9 comme un cas de \u00ab r\u00e9flexion dangereuse \u00bb GHES pouvant conduire \u00e0 une injection de r\u00e9flexion et \u00e0 l’ex\u00e9cution de code \u00e0 distance. Il a \u00e9t\u00e9 corrig\u00e9 dans les versions GHES 3.8.13, 3.9.8, 3.10.5 et 3.11.3.<\/p>\n GitHub traite \u00e9galement un autre bug de haute gravit\u00e9 suivi comme CVE-2024-0507<\/a> (score CVSS : 6,5), ce qui pourrait permettre \u00e0 un attaquant ayant acc\u00e8s \u00e0 un compte utilisateur de la console de gestion avec le r\u00f4le d’\u00e9diteur d’\u00e9lever ses privil\u00e8ges via l’injection de commandes.<\/p>\n Ce d\u00e9veloppement intervient pr\u00e8s d’un an apr\u00e8s que la soci\u00e9t\u00e9 a pris la d\u00e9cision de remplacer sa cl\u00e9 h\u00f4te RSA SSH utilis\u00e9e pour s\u00e9curiser les op\u00e9rations Git \u00ab par mesure de prudence \u00bb apr\u00e8s qu’elle ait \u00e9t\u00e9 bri\u00e8vement expos\u00e9e dans un r\u00e9f\u00e9rentiel public.<\/p>\n <\/p>\n<\/a><\/center><\/div>\n