GitHub invadido para demonstrar uma vulnerabilidade no Rails
Durante o fim de semana um desenvolvedor invadiu o repositório GitHub, elemento essencial no desenvolvimento de uma série de projetos de código aberto, para demonstrar a relevância de uma vulnerabilidade existente há um bom tempo no Rails (o GitHub é em Ruby on Rails).
E a demonstração foi bem clara: ele explorou a vulnerabilidade para inserir sua própria chave pública na lista de administradores do próprio projeto Rails (hospedado no GitHub), com plenos poderes: podendo apagar o projeto, remover seu histórico, modificar o código do produto, etc. – mas ele se limitou a registrar a situação em um commit.
Os administradores do GitHub aproveitaram o alerta para corrigir a falha em seu site mas, como alerta o The H, administradores de outros sites e sistemas em Ruby on Rails podem estar sujeitos à mesma situação e farão bem em verificar. (via it.slashdot.org – “GitHub Hacked – Slashdot”)
@brlinuxblog
Feed RSS
depois agente mete o pau no povão que não usa SL. O cidadão disse: – “esta vulnerabilidade é importante, conserte…”
e ninguém deu bola. infelizmente tem de tomar esta atitude para que se dê a devida importância ao problema…
que tenham aprendido!
Não é uma falha do Ruby on Rails. É um recurso que, se mal utilizado, facilmente dá origem a uma falha de segurança. Entretanto, isso é conhecido há muito tempo e muito bem documentado na documentação do Ruby on Rails. Esse tipo de situação é bastante comum no PHP, que possui diversos recursos e construções que dão origem a falhas de segurança se o desenvolvedor não tiver muita cautela.
A falha em si era do GitHub mesmo, que fez mal uso desse recurso. O problema foi de comunicação mesmo, não souberam orientar a pessoa que descobriu a falha para o local correto onde ela deveria ser reportada.
@José, não sou desenvolvedor, mas me cai mal essa ideia de um produto manter um recurso que tenha um alto potencial de abuso e resolver a questão apenas documentando um “cuidado com isso!”.
Se o recurso é uma mina terrestre apenas esperando o próximo incauto cair nela (e não perceber), não deveria estar lá.
Ou no mínimo deveria ser repensado. Ou talvez devesse existir uma ferramenta obrigatória que identifique o mal uso e dê o alarme.
@Porfírio, Concordo com isso, mas na prática infelizmente é muito comum. A linguagem PHP inteira tem minas terrestres desse tipo (por isso dei como exemplo).