به گزارش Hacker News، ابزارهای توسعه همراه با macOS مانند Git و curl ده روز پس از اطلاع‌رسانی، همچنان گواهی‌های صادر شده توسط eMudhra را معتبر می‌شناسند.
اپل در تاریخ ۱۷ اکتبر از مشکل امنیتی مربوط به eMudhra مطلع شد اما تا ۲۸ اکتبر، ابزارهای توسعه‌دهنده عرضه‌شده با سیستم‌عامل مک‌اواس از جمله گیت، curl و پایتون۳ همچنان به گواهی‌های آسیب‌پذیر اعتماد دارند. انتشار نسخه ۲۷.۲ مک‌اواس در ۲۶ اکتبر نیز نه تنها این مشکل را برطرف نکرد، بلکه راه‌حل موقتی که کاربران به صورت دستی اعمال کرده بودند را خنثی کرد.
این ضعف امنیتی به مهاجمان اجازه می‌دهد تا هرگونه ارتباط HTTPS برقرار شده توسط این ابزارها را رهگیری کنند. برای ابزار Git، این وضعیت به معنای امکان تحویل کد مخرب در هنگام کلون و پول از ریموت‌های HTTPS است و همچنین می‌تواند پوش‌ها و اطلاعات احراز هویت مانند توکن‌های گیت‌هاب را به خطر بیندازد.
در حالی که اپل سافاری و سایر برنامه‌های مبتنی بر فریم‌ورک شبکه خود را محافظت کرده است، اما توسعه‌دهندگان همچنان در معرض ریسک قرار دارند. تیم‌های امنیتی باید بررسی کنند که آیا رانرهای مک‌اواس در زیرساخت‌های CI یا فرآیندهای ساخت نرم‌افزار استفاده می‌شوند یا خیر.
توسعه‌دهندگان می‌توانند با اجرای دستورهای آزمایشی وضعیت ابزار خود را بررسی کنند و در صورت دریافت خطای گواهی، مطمئن شوند که سیستم آن‌ها محافظت می‌شود. به گفته Dennis Jackson، حذف دستی گواهی‌های ریشه آسیب‌پذیر از مسیر سیستم یکی از راه‌حل‌های موقت است که البته با هر به‌روزرسانی سیستم‌عامل ممکن است به حالت قبل بازگردد.
نکات کلیدی این خبر
- ابزارهای Git، curl و پایتون۳ در مک‌اواس به گواهی‌های eMudhra اعتماد دارند.
- آپدیت نسخه ۲۷.۲ مک‌اواس راه‌حل موقت کاربران را پاک کرد.
- ارتباطات HTTPS و توکن‌های گیت‌هاب در معرض خطر رهگیری قرار دارند.
- توسعه‌دهندگان باید رانرهای CI و محیط‌های ساخت خود را ارزیابی کنند.
این خبر برای شما چه معنایی دارد؟
توسعه‌دهندگانی که از سیستم‌عامل macOS برای مدیریت کدهای خود و ارتباط با مخازن گیت‌هاب استفاده می‌کنند، در معرض خطر رهگیری ترافیک و سرقت توکن‌ها قرار دارند. تیم‌های فنی باید بررسی کنند که آیا ماشین‌های مک‌اواس در خطوط لوله CI یا سرورهای بیلد آن‌ها استفاده می‌شوند و بررسی‌های امنیتی را روی ابزارهای توسعه خود اعمال کنند.
منبع خبر
Hacker News (300+)
— Ten days later, Git on macOS still trusts the compromised eMudhra certificates
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
