|
|
|
|
|
|
|
|
Legit Security מגלה פגיעויות הסלמת הרשאות ב-GitHub ומזהירה ארגונים מפני התקפות פוטנציאליות על שרשרת האספקה של התוכנה
|
|
|
|
|
Legit Security מגלה פגיעויות הסלמת הרשאות ב-GitHub ומזהירה ארגונים מפני התקפות פוטנציאליות על שרשרת האספקה של התוכנהתל אביב, 12 באפריל 2022, (GLOBE NEWSWIRE) :Legit Security, חברת אבטחת סייבר עם פלטפורמת תוכנה כשירות ארגונית לאבטחת שרשרת אספקת התוכנה של הארגון, הודיעה היום על חשיפה אחראית של פגיעויות הסלמת הרשאות GitHub-Actions שנמצאו לאחרונה. פגיעויות אלו פותחות את הדלת להתקפות שרשרת אספקת התוכנה בהן תוקף יכול להשתלט על תהליך בניית התוכנה של הארגון כדי לשבש פעולות פנימיות או כדי להטמיע בתוכנה קוד שנשלט על ידי התוקף או דלתות אחוריות, באופן שמעמיד לקוחות במורד הזרם בסיכון. מוקדם יותר השנה, Legit Security הכריזה על הערכת סיכונים מהירה בחינם לארגונים כדי לקבל תובנה מיידית לגבי פגיעויות בכל שרשרת אספקת התוכנה שלהם, כולל הנושא האחרון. בתגובה לבעיה המסוימת הזו של GitHub, Legit Security פרסמה באתר שלה בלוג גילוי טכני הכולל הנחיות מפורטות לארגונים כיצד לתקן זאת.
הפגיעויות התגלו בזרימות העבודה של GitHub-Actions, שהוא שירות בניית התוכנה של מערכת ניהול קוד המקור ב-GitHub הפופולרית ביותר, שנמצאת בלב שרשרות אספקת התוכנה של ארגונים רבים ומשמשת מפתחי תוכנה בכל רחבי העולם. GitHub משמשת בעיקר עבור בקרת גרסאות תוכנה, ניהול שינויים בקוד המקור של המשתמשים והוראות בניית תוכנה - הפעולות שניתן לנצל עם הפגיעויות שהתגלו לאחרונה. האתגר של אבטחת שרשראות אספקת התוכנה, לרבות הצינורות, המערכות, הקוד והאנשים שבתוכו, קיבל נראות וחשיבות רבה יותר בשל כמה התקפות בפרופיל גבוה לאחרונה. Legit Security פיתחה פלטפורמת אבטחה ייעודית כדי להגן על סביבת שרשרת אספקת התוכנה מקצה לקצה כדי לתת מענה לצורך הגובר הזה.
"המשימה והמטרה שלנו ביצירת Legit Security היא לסייע בהגנה על ארגונים מפני התקפות של שרשרת אספקת תוכנה", אמר ליאב כספי, המנהל הטכני ראשי, ומייסד שותף של Legit Security. "נוף האיומים משתנה כל הזמן, וחוקרי האבטחה הפנימיים שלנו עוקבים ללא הרף אחר שיטות אבטחה מומלצות בכל התעשייה, כולל חיפוש אחר איומים חדשים. אנו תורמים באופן פעיל לקהילת אבטחת הסייבר הרחבה יותר כדי לשפר את החוסן מפני התקפות מזיקות אלו, וגם להטמיע את הממצאים הללו ואת שיטות האבטחה המומלצות במאות פרטי מדיניות אבטחה הניתנות לאכיפה בפלטפורמת Legit Security שלנו."
לפי גרטנר, 45% מהארגונים ברחבי העולם יחוו התקפות על שרשראות אספקת התוכנה שלהם עד 2025, עלייה של פי שלושה מ-2021. פריצות בידי פושעי סייבר או השתלטות על שרשרת אספקת התוכנה של ארגון הביאו למתקפות סייבר רבות בפרופיל גבוה בשנים האחרונות כולל SolarWinds, Codecov, Kaseya, NotPetya ואחרים.
"החששות לגבי גמישות שרשרת אספקת התוכנה כבר אינן של מובילי אבטחת ה-IT בלבד, אלא גם של המנהלים העסקיים וחדר הדירקטוריון", אמר רוני פוקס, מנכ"ל Legit Security. "מניעת התקפות שעלולות ליצור הרס בפעילות הפנימית, לחדור לתוכנה הארגונית, לסכן לקוחות ולשבש מודלים עסקיים דיגיטליים שלמים ראויה שתהיה בעדיפות הגבוהה ביותר שלהם. אנו גאים לעזור לארגונים עם הנחיות לשיטות עבודה מומלצות ולהציע גם פלטפורמת אבטחה שמטפלת בנקודות התורפה הללו וגם מאפשרת לארגונים לעשות זאת ביעילות ובקנה מידה מתאים".
Legit Security העבירה את המידע על חשיפת הפגיעות הזו בהרשאות צינורות המידע של GitHub ל-GitHub. צוות מחקר האבטחה הפנימית של Legit Security דגמה מאגרי GitHub פופולריים מאוד עם דירוג של למעלה מ-1,000 כוכבים ומצא ברבים מהם את הפגיעות הזו. Legit Security פנתה ישירות לאותם אתרים מושפעים, כולל ספק עם אחד ממוצרי שרתי הקוד הפתוח הפופולריים בעולם המשמשים להפעלת מאות מיליוני אתרים, והספק הזה הצליח לתקן את הפגיעות למחרת.
למידע מפורט כיצד להגן על הארגון שלכם מפני הסלמה זו של בהרשאות GitHub, בקרו בבלוג החשיפה הטכנית של Legit Security. אם אתם מעוניינים לקבל הערכת סיכונים מהירה יסודית ללא עלות, אנא הגישו את בקשתכם כאן.
אודות Legit Security
Legit Security מגינה על שרשראות אספקת התוכנה מפני התקפה על ידי גילוי ואבטחת הצינורות, התשתית, הקוד והאנשים באופן אוטומטי, כך שעסקים יכולים להישאר בטוחים ובה בעת לאפשר שחרור תוכנה מהיר. Legit מספקת פתרון תוכנה כשירות קל ליישום התומך במשאבים בענן ובאופן מקומי ומשלב יכולות גילוי וניתוח אוטומטיים עם מאות מדיניות אבטחה שפותחו בידי מומחי תעשייה עם ניסיון אמיתי באבטחת SDLC. פתרון משולב זה שומר על אבטחת מפעל התוכנה שלך ומספק ביטחון מתמשך שהיישומים שלכם מושקים ללא פגיעויות. קשרי מדיהMedia Contact
Tony Keller
OutVox
tkeller@outvox.com*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GLOBE NEWSWIRE
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
אודות כותב המאמר:
חיים נוי, עיתונאי, עורך ראשי סוכנות החדשות הבינ"ל IPA, עורך ראשי לשעבר סוכנות הידיעות עתים, חבר תא מבקרי התיאטרון באגודת העיתונאים.
|
|
|
|
|
|
|
|
|
|
|
|
מאמרים נוספים מאת חיים נוי
|
NWTN Inc (נאסד"ק: NWTN), חברת טכנולוגיות לניידות עם מודעות לסביבה המביאה לעולם פתרונות ניידות ממוקדת נוסעים ברמת הפרמיום, הודיעה כי הבנייה של מתקן הרכבת הרכב החשמלי שלה באיחוד האמירויות, באזור התעשייה ח'ליפה באבו דאבי (KEZAD), מתבצעת בהתאם ללוח הזמנים, והוא יושלם ברבעון הרביעי של 2022.
|
|
אירוע הפתיחה בהשתתפות הילרי רודהם קלינטון, ג'יסו ניה, שיידה סולימאני, שירין נשאט עם הופעה מיוחדת של ג'ון בטיסט
|
|
רוזן, יועץ לאומי למשקיעים, מעודד את המשקיעים ב- Wine Estates, Inc. להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – VWE
|
|
רוזן, יועץ למשקיעים בעל שם עולמי, מעודד את המשקיעים ב- Unisys Corporation להשיג ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – UIS
|
|
רוזן, יועץ למשקיעים גלובלי, מעודד את המשקיעים ב- FIGS, Inc. שצברו עודף הפסדים, להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – FIGS
|
|
רוזן, חברה מובילה, מעודד את המשקיעים ב- Torrid Holdings שצברו עודף הפסדים, להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – CURV
|
|
בואינג 737 BBJ2 הוא תוספת נהדרת לצי המטוסים הפרטיים הבלעדי של KlasJet מכיוון שהוא אמור לספק את הצרכים הספציפיים של לקוחות בכירים הנוסעים בקבוצות קטנות יותר.
|
מאמרים נוספים בנושא הודעות לעיתונות - כללי
|
אירוע הפתיחה בהשתתפות הילרי רודהם קלינטון, ג'יסו ניה, שיידה סולימאני, שירין נשאט עם הופעה מיוחדת של ג'ון בטיסט
|
|
רוזן, יועץ למשקיעים גלובלי, מעודד את המשקיעים ב- FIGS, Inc. שצברו עודף הפסדים, להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – FIGS
|
|
בואינג 737 BBJ2 הוא תוספת נהדרת לצי המטוסים הפרטיים הבלעדי של KlasJet מכיוון שהוא אמור לספק את הצרכים הספציפיים של לקוחות בכירים הנוסעים בקבוצות קטנות יותר.
|
|
רוזן, משרד עורכי דין מוביל לזכויות משקיעים, מעודד את המשקיעים בקבוצת ארגו אינטרנשיונל הולדינגס בע"מ להשיג ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – ARGO
|
|
Tusk Inc. Limited (www.tusklimited.com) חברה שהחלה ב-2012 כחברת ניהול הון בבריטניה וקואלה לומפור עם משרדים ברחבי העולם, וכיום היא אחת מחברות פתרונות החשמל המובילות המתמקדות בייצור עבור משתמשים של ציוד כרייה, אנרגיה סולארית ומתאמים מכריזה על מוצרים משולבים חדשים. קו המוצרים מיועד בעיקר למטרות חשמל. כל כורה שנקנה מגיע עם פאנל סולארי כדי להפחית את צריכת החשמל.
|
|
רוזן, חברה מכובדת ומובילה, מעודדת את המשקיעים ב- Core Scientific, Inc. שצברו עודף הפסדים, להבטיח ייעוץ לפני תאריך יעד חשוב בתביעה ייצוגית בניירות ערך – CORZ
|
|
נובמבר 2022 – בעקבות ההצלחה של תוכנית ההאצה MultiChoice Africa, שהבטיחה מימון של 16 מיליון דולר (דולר ארה"ב) לשישה עסקים מתעוררים אשתקד , התוכנית הורחבה לשמונה מדינות נוספות ברחבי אפריקה.
|
|
|
|
|