Gitea: गीताबॉट खाते से छेड़छाड़ की गई थी

को निर्मित 7 जून 2018 · 75टिप्पणियाँ · स्रोत: go-gitea/gitea

हम वर्तमान में गो-गीता संगठन के लिए राइट एक्सेस विशेषाधिकार वाले खाते से संदिग्ध गतिविधि की जांच कर रहे हैं। कई गो-गिटिया रिपॉजिटरी में रिलीज करने के लिए एक बाइनरी जोड़ा गया था। हमने सभी रिलीज़ को साफ़ कर दिया है और खाते से अस्थायी रूप से पहुंच छोड़ दी है। भविष्य में इसे रोकने के लिए वास्तव में क्या होता है, यह समझने के लिए हम आगे की जांच करेंगे और प्रक्रिया में आपके साथ पारदर्शी रहेंगे। इस बीच, यदि आपको कोई संदिग्ध गतिविधि मिलती है, तो कृपया उन्हें इस मुद्दे के तहत रिपोर्ट करें।

अद्यतन: https://dl.gitea.io/ सहित कोई स्रोत कोड या अन्य गीता बुनियादी ढांचा प्रभावित नहीं हुआ था, इसलिए इसका उपयोग गीता बायनेरिज़ को डाउनलोड करने के लिए करना सुरक्षित है।

हैक किया गया GitHub खाता पूर्ण नियंत्रण में है और उसने 2FA भी सेट किया है, इसलिए भविष्य में ऐसा दोबारा नहीं होना चाहिए।

क्या किया गया था:

अधिकांश go-gitea संगठन भंडार नई रिलीज और टैग नाम 0 के साथ बनाया गया था और उस रिलीज में install.exe बाइनरी (13KB आकार) जोड़ा गया था जो दुर्भावनापूर्ण था (हमारे विश्लेषण से क्रिप्टो करेंसी माइनर शामिल था ) इन सभी रिलीज़ और बायनेरिज़ को जोड़े जाने के 2-3 घंटों के भीतर हटा दिया गया था।
इसके अलावा 1.4.2 रिलीज विंडोज़ गिटिया .exe बाइनरी को गिटहब पर ऊपर के समान 13 के बाइनरी द्वारा प्रतिस्थापित किया गया था। तो अगर गीता काम कर रही है, तो आप सुरक्षित हैं.
बस अगर हमने बायनेरिज़ को फिर से बनाने के लिए CI को ट्रिगर करने के लिए 1.4.2 रिटैग किया था तो sha256 अब अलग होगा क्योंकि यह रीटैग से पहले था।

हमने GitHub से संपर्क किया है, लेकिन अभी तक उनसे कोई जवाब नहीं मिला है

अद्यतन 2:
कोई वास्तविक गीता बायनेरिज़ से समझौता नहीं किया गया था, इसलिए नीचे दी गई टिप्पणियों में उल्लिखित सभी हैश सुरक्षित हैं।

दुर्भावनापूर्ण .exe फ़ाइल का SHA256:
bfc5a0358b1ad76ffbc1e1f4670bd3240536e2fbac88272cee3003322a15fffe

अद्यतन3:
v1.4.2 को लगभग 2018-06-07 20:00:00 UTC+08 . पर फिर से रिलीज़ किया गया है

kinsecurity prioritcritical

स्रोत

lafriks

👍60 😄6

सबसे उपयोगी टिप्पणी

@daviian शायद तब रिलीज पर हस्ताक्षर करना जरूरी है?

Mauladen 7 जून 2018

👍65 ❤13

सभी 75 टिप्पणियाँ

इस बीच कृपया अगली सूचना तक हमारे जारी किए गए बायनेरिज़, विशेष रूप से विंडोज़ वाले को डाउनलोड करते समय सावधान रहें। उदाहरण के लिए बायनेरिज़ के आकार पर नज़र रखें, या डबल .exe फ़ाइल के अंत पर नज़र रखें।
हमने पाया है कि 1.4.2 रिलीज के भीतर हमारे .exe बायनेरिज़ को भी बदल दिया गया था।

हम सभी मार्गों का पालन करने, सफाई करने और जितनी जल्दी हो सके दैनिक व्यवसाय में वापस आने के लिए कड़ी मेहनत करते हैं।

daviian 7 जून 2018

👍3

@daviian शायद तब रिलीज पर हस्ताक्षर करना जरूरी है?

Mauladen 7 जून 2018

👍65 ❤13

@Mauladen आपके इनपुट के लिए धन्यवाद। हम निश्चित रूप से इस पर चर्चा करेंगे।

daviian 7 जून 2018

👍4

आउच! हाँ, हस्ताक्षरित बायनेरिज़ आदर्श होंगे।

54 7 जून 2018

👍5

default

Mauladen 7 जून 2018

@Mauladen हमने 1.4.2 रिलीज़ के लिए बायनेरिज़ को फिर से बनाया है ताकि यह सुनिश्चित हो सके कि हम सुरक्षित प्रदान करते हैं।

या आपका मतलब कुछ और था?

daviian 7 जून 2018

यह सामान्य है। हमने बायनेरिज़ को फिर से बनाने के लिए CI को पुन: ट्रिगर करने के लिए 1.4.2 को पुनः प्राप्त किया क्योंकि उस रिलीज़ के लिए विंडोज़ बाइनरी को हटा दिया गया था और एक नया दुर्भावनापूर्ण जोड़ा गया था

lafriks 7 जून 2018

@daviian , शायद @Mauladen का मतलब था कि 1.4.2 रिलीज GPG हस्ताक्षर के बिना प्रतिबद्ध है, लेकिन 1.4.1 था

axifive 7 जून 2018

अभी भी परिवर्तनों की सूची संपादित करने की आवश्यकता है

Mauladen 7 जून 2018

@axifive कमिट जहां gpg उपयोगकर्ता द्वारा हस्ताक्षरित नहीं है, लेकिन github जो इसे स्वचालित रूप से (github कुंजी के साथ) करता है जब विलय वही PR लेखक होता है। मैं इसे और अधिक सुरक्षित नहीं मानूंगा क्योंकि अगर जीथब खाते से समझौता किया गया तो मुझे "सत्यापित" के रूप में भी दिखाया जाएगा। लेकिन हम अभी से (चर्चा करने के लिए) टैग पर हस्ताक्षर करना शुरू कर सकते हैं। जानकारी के लिए, हम बाइनरी पर हस्ताक्षर करने पर काम कर रहे हैं क्योंकि थज़न बाइनरी को गिट प्रतिबद्ध पेड़ के रूप में भ्रष्ट करना अधिक आसान है।

sapk 7 जून 2018

आपको git-archive द्वारा बनाई गई एक टैरबॉल अपलोड करनी चाहिए (उनके अतिरिक्त जो जीथब स्वचालित रूप से उत्पन्न होती है) जिसे आप signify साथ हस्ताक्षर करते हैं। आप इस बात का अंदाजा लगा सकते हैं कि यह कैसे काम करता है / यहाँ दिखता है:

लिब्रेसल उसी तकनीक का उपयोग करता है।

hasufell 7 जून 2018

👍2

क्या इसके बारे में अब कोई जानकारी है? बाइनरी का पेलोड क्या था? क्या उपयोगकर्ताओं को इस बारे में ब्लॉग पोस्ट या किसी अन्य चीज़ के माध्यम से सूचित किया जाएगा? क्या किसी भी लिनक्स बायनेरिज़ से समझौता किया गया था? मैं इस बारे में चिंतित हूं कि इन चीजों ने मेरे सर्वर पर क्या किया होगा। मैं इस बात से दोगुना चिंतित हूं कि मुझे केवल इस मुद्दे पृष्ठ ब्राउज़ करने के बारे में संयोग से पता चला है बनाम प्रोजेक्ट पेज/ब्लॉग पर आधिकारिक नोटिस

CountMurphy 7 जून 2018

👍12

क्या इस समय गीता 1.4.2 रिलीज़ को सोर्स कोड से अपडेट करना सुरक्षित है?

asiekierka 7 जून 2018

👍1

इस बिंदु पर, यह मेरे लिए स्पष्ट नहीं है कि क्या केवल बायनेरिज़ प्रभावित हुए थे। आपने इसे कैसे सत्यापित किया? क्या आपकी शाखाएं सुरक्षित हैं?

hasufell 7 जून 2018

👍1

shasums 6/4 और 6/7 पर डाउनलोड किए गए बायनेरिज़ पर भिन्न होते हैं, हालांकि वे बाइट्स की समान संख्या हैं:

$ sha256sum gitea-1.4.2-linux-amd64*
e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9  gitea-1.4.2-linux-amd64
c843d462b5edb0d64572b148a0e814e41d069d196c3b3ee491449225e1c39d7d  gitea-1.4.2-linux-amd64.1

$ ls --color=tty -l gitea-1.4.2-linux-amd64*
-rwxr-xr-x 1 matt matt 53674800 Jun  4 20:39 gitea-1.4.2-linux-amd64
-rwxr-xr-x 1 matt matt 53674800 Jun  7 08:18 gitea-1.4.2-linux-amd64.1

xcolour 7 जून 2018

कहीं उन लोगों की मेजबानी करने का मन करता है ताकि लोग उन्हें अलग कर सकें?

bkero 7 जून 2018

👍4

यहां बायनेरिज़ अपलोड किए गए: https://send.firefox.com/download/a5dc9a9335/#_k9e4Cu2r4pPNDrsS1T2CA। यदि आवश्यक हो तो मैं उन्हें कहीं और स्थायी कर दूंगा।

xcolour 8 जून 2018

प्रश्न - क्या केवल वेबसाइट पर मौजूद बायनेरिज़ प्रभावित हुए थे, या रिपोजिटरी भी प्रभावित हुए थे? मैं पूछता हूं क्योंकि कल मैंने गीता के बारे में सुना और क्लोन किया और v1.4 शाखा का निर्माण किया।

jatherrien 8 जून 2018

वास्तव में कुछ और जानकारी चाहते हैं यदि स्रोत से समझौता किया गया हो या सिर्फ बायनेरिज़। मैं रात में गिट से अपडेट/बिल्ड की जांच करने के लिए एक स्क्रिप्ट चलाता हूं और समय के कारण इसे याद करने के लिए भाग्यशाली था।

क्या मौजूदा 1.4.2 रिलीज को साफ होने के लिए सत्यापित किया गया है? यदि हम जानते हैं कि यह दागी है तो हमें उस ASAP को खींचकर विश्लेषण के लिए कहीं और रखना चाहिए, अन्यथा लोग अभी भी इसे डाउनलोड कर रहे होंगे यदि वे इस मुद्दे को नहीं देखते हैं। मैं @CountMurphy से सहमत रीडमे में कुछ जोड़ सकते हैं ताकि यह वास्तव में दिखाई दे?

4oo4 8 जून 2018

क्या हम हैश प्राप्त कर सकते हैं ताकि हम जांच सकें कि हमारे बायनेरिज़ प्रभावित हैं या नहीं? मेरा gitea 1.4.1 (linux amd64) इस तरह दिखता है:
$ sha256sum गीता
d8cfa0d39da70497f1f75e519e4fee33e5ee7c0de88919bdfe46a8b0d38af851

mikedilger 8 जून 2018

👍2

मैंने अभी gitea 1.4.1 linux-amd-64 डाउनलोड किया है और मुझे d8cfa0d39da70497f1f75e519e4fee33e5ee7c0de88919bdfe46a8b0d38af851 sha256 के रूप में भी मिला है

cupnoodle 8 जून 2018

👍3

@mikedilger देखें: https://github.com/go-gitea/gitea/issues/4167#issuecomment -395576229

4oo4 8 जून 2018

इसे अत्यधिक स्पष्ट करने के लिए: कोई भी कुछ भी नहीं जानता है और वर्तमान में यहां पाए जाने वाले एकमात्र सुरक्षित हैश हैं: https://github.com/go-gitea/gitea/releases

गीता 1.4.2 के लिए amd64 पर, इसका अर्थ है:

क्षमा करें, मैंने https://github.com/go-gitea/gitea/issues/4167#issuecomment -395576229 का अर्थ गलत समझा कि दोनों बायनेरिज़ से समझौता किया गया था।

हम वास्तव में जो जानते हैं उसके बारे में किसी भी अस्पष्टता को दूर करने के लिए मैंने इस पोस्ट को संपादित किया है।

christianbundy 8 जून 2018

👍5 👎1

होल्ड करें: इस टिप्पणी के अनुसार (https://github.com/go-gitea/gitea/issues/4167#issuecomment-395576229), दो shas हैं e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9 4 जून से

क्या हम कह रहे हैं कि इन दोनों में समझौता हुआ है या सिर्फ एक है? रिकॉर्ड के लिए मेरे सर्वर पर 5 जून से e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9 है।

shuhaowu 8 जून 2018

@christianbंडी , कृपया, जल्दबाजी में निष्कर्ष न निकालें, टीम के सदस्य की प्रतिक्रिया की प्रतीक्षा करें

axifive 8 जून 2018

कृपया, जल्दबाजी में निष्कर्ष न निकालें, टीम के सदस्य की प्रतिक्रिया की प्रतीक्षा करें

इसके बारे में क्षमा करें, मैंने सोचा था कि फ़ाइल हैश तुरंत एक टीम के सदस्य द्वारा पोस्ट किया जाएगा और यह महसूस नहीं किया कि जानकारी किसी और से आ रही थी जो अंधेरे में _ भी_ था। क्या यह नवीनतम घटनाक्रम देखने के लिए सही चैनल है? मैंने अपना सर्वर बंद कर दिया है और मुझे यह बताने के लिए और जानकारी चाहिए कि मैं संक्रमित हुआ हूं या नहीं।

christianbundy 8 जून 2018

मैंने आपके संपादनों को उस प्रविष्टि को पार करते हुए देखा है जिसकी ओर मैंने संकेत किया था। फिर भी, क्या यह निष्कर्ष निकालना जल्दबाजी नहीं है? हमें कैसे पता चलेगा कि e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9 ठीक है?

हमें अभी भी कुछ जानकारी याद आ रही है (संभवतः गैर-संपूर्ण):

[ ] किन बायनेरिज़ से समझौता किया गया और उनके चेकसम क्या हैं?
[ ] बॉट खाते से समझौता कब हुआ?
[ ] क्या स्रोत भंडार से समझौता किया गया है (यह जांचना आसान हो सकता है कि क्या आपके पास कुछ समय पहले रेपो का एक संस्करण क्लोन किया गया है, तो आप शायद अंतर या बल धक्का के सबूत की जांच कर सकते हैं)।

shuhaowu 8 जून 2018

👍3 👎1

मैंने पाया:

# ls -la gitea-1.4.1-linux-amd64
-rwxr-xr-x 1 gitea gitea 53663640 May  3 08:02 gitea-1.4.1-linux-amd64

sha256sum d8cfa0d39da70497f1f75e519e4fee33e5ee7c0de88919bdfe46a8b0d38af851

और मैंने अभी डाउनलोड किया है gitea-1.4.2-linux-amd64 :

# ls -la gitea-1.4.2-linux-amd64
-rwxr-xr-x 1 root root 53674800 Jun  7 14:18 gitea-1.4.2-linux-amd64

sha256sum c843d462b5edb0d64572b148a0e814e41d069d196c3b3ee491449225e1c39d7d जो प्रदान की गई .sha256 फ़ाइल से मेल खाता है: gitea-1.4.2-linux-amd64: OK जो सुरक्षित होना चाहिए। (अधिकार?)

[...] हमने 1.4.2 रिलीज के लिए बायनेरिज़ का पुनर्निर्माण किया है ताकि यह सुनिश्चित हो सके कि हम सुरक्षित प्रदान करते हैं। [...]

मैंने यहां विश्लेषण के लिए gitea-1.4.2-linux-amd64 अपलोड किया है , लेकिन यह वास्तव में कुछ भी स्पष्ट नहीं बताता है।

मैं इस मुद्दे को देखने जा रहा हूं और मेरी गीता इंस्टॉलेशन को फिलहाल ऑफलाइन रखूंगा।

SharkyRawr 8 जून 2018

👍4

हमें कैसे पता चलेगा कि e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9 ठीक है?

@shuhaowu मैंने कहा कि c843d462 ठीक था, e14e54f3 । हम इसे जानते हैं क्योंकि यह फ़ाइल वर्तमान में GitHub पर पेश की जा रही है, जिसे उन्होंने हाल ही में फिर से बनाया है।

christianbundy 8 जून 2018

यदि 1.4.2 का पुनर्निर्माण किया गया था, तो उसे अन्य वैध रिलीज की तरह हस्ताक्षरित और सत्यापित किया जाना चाहिए। ऐसा न करना केवल भ्रम को बढ़ाता है।

4oo4 8 जून 2018

👍2

@xcolor

बायनेरिज़ को यहाँ अपलोड किया: https://send.firefox.com/download/a5dc9a9335/#_k9e4Cu2r4pPNDrsS1T2CA

इन दो बाइनरी के बीच फर्क सिर्फ इतना है कि के उदाहरण लगभग 2000 है movabsq $63663754793, %rcx के साथ बदल दिया गया movabsq $63663969431, %rcx । मैं यह नहीं कह सकता कि व्यवहारिक रूप से क्या बदलता है, लेकिन मुझे लगता है कि यह बहुत ही असंभव है कि यह दुर्भावनापूर्ण होने के लिए पर्याप्त है।

spaghetti2514 8 जून 2018

हो सकता है कि ज्ञात-सुरक्षित कोड के साथ एक नया (हस्ताक्षरित?) 1.4.3 रिलीज़ करें, या यह चीजों को और अधिक भ्रमित करेगा?

justinclift 8 जून 2018

👍2

@justinclift मुझे वह विचार पसंद है, एक ब्लॉग पोस्ट और स्थिति के बारे में

4oo4 8 जून 2018

@स्पेगेटी2514

एक ओर, आप सही कह रहे हैं -- _those_ दो बायनेरिज़ के बीच अंतर देखना आसान है।

दूसरी ओर, गीता टीम ने वास्तव में यह पोस्ट नहीं किया है कि कौन से बायनेरिज़ प्रभावित हुए हैं, कोई SHA256 हैश पोस्ट किया है, या वास्तव में _anything_ कहा है जो हमें समझौते को समझने में मदद करेगा जैसा कि अन्य ने बताया है, हमारे पास यह निर्धारित करने के लिए लगभग पर्याप्त जानकारी नहीं है क्या हुआ और कौन प्रभावित हुआ।

मुझे यह बताते हुए निराशा हो रही है कि हमें शायद सबसे खराब मान लेना चाहिए और कोर टीम से नैदानिक कदमों की प्रतीक्षा करनी चाहिए। इसके साथ ही, मैं आपको अलग-अलग अंतर पोस्ट करने की सराहना करता हूं।

christianbundy 8 जून 2018

क्या आप यही ढूंढ रहे हैं? https://github.com/go-gita/gitea/issues/4167#issuecomment -395579466

saagarjha 8 जून 2018

अपडेट @lafriks के लिए धन्यवाद!

CountMurphy 8 जून 2018

मैंने अतिरिक्त जानकारी के साथ समस्या का विवरण अपडेट किया है। यह इतना बुरा नहीं था जितना हो सकता था। हम यथासंभव पारदर्शी होना चाहते थे इसलिए जैसे ही हमने सब कुछ साफ किया और सब कुछ ठीक कर दिया, इस मुद्दे को बनाया और जैसा कि पहली बार ऐसा कुछ हुआ था, इसलिए शायद हमें अधिक जानकारी तेजी से देनी चाहिए थी, भ्रम पैदा करने के लिए खेद है।

lafriks 8 जून 2018

👍6

@lafriks अपडेट के लिए धन्यवाद! क्या आप अपनी PGP कुंजी पोस्ट कर सकते हैं जिसका उपयोग हम आगे जाकर कमिट सत्यापित करने के लिए कर सकते हैं?

4oo4 8 जून 2018

👍3

@ 4oo4 टैग विलय की अपनी जीपीजी कुंजी में से एक द्वारा हस्ताक्षरित हैं, क्योंकि पीआर सभी स्क्वैश और मर्ज का उपयोग करके विलय कर चुके हैं, वे हस्ताक्षरित नहीं हैं (या शायद गिटहब के जादू द्वारा हस्ताक्षरित हैं :))

रिलीज़ पर GPG कुंजी द्वारा हस्ताक्षर किए जाएंगे जो 1.5.0 रिलीज़ से पहले बनाई जाएगी, हम इसे README.md, gitea डॉक्स और ब्लॉग पोस्ट में प्रकाशित करेंगे।

lafriks 8 जून 2018

👍4

एक 386 उपयोगकर्ता के रूप में, मैं पुष्टि कर सकता हूं कि वर्तमान में रिलीज पेज पर उपलब्ध gitea-1.4.1-linux-386 बाइनरी मेरे द्वारा 4 जून को डाउनलोड किए गए संस्करण से मेल खाती है ( cf6344b4 )।

mappu 8 जून 2018

👍1

पीआर के रूप में स्क्वैश और मर्ज का उपयोग करके विलय कर दिया गया है, वे हस्ताक्षरित नहीं हैं (या शायद गिटहब के जादू द्वारा हस्ताक्षरित :))

मर्ज बटन का उपयोग न करें, यह मूल रूप से असुरक्षित है और एक यादृच्छिक gpg कुंजी है। स्थानीय रूप से मर्ज करें और मर्ज को पुश करें।

hasufell 8 जून 2018

👍3

@mapu gita v1.4.1 प्रभावित नहीं हुआ है और अब v1.4.2 को फिर से रिलीज़ किया गया है।

lunny 8 जून 2018

आपको गिट-आर्काइव द्वारा बनाई गई एक टैरबॉल अपलोड करनी चाहिए (उनके अलावा जो जीथब स्वचालित रूप से उत्पन्न होती है) जिसे आप साइन के साथ साइन करते हैं।

दरअसल, आपको आर्काइव्स बनाने और फिर से अपलोड करने की भी जरूरत नहीं है। आप बनाए गए गिटहब पर हस्ताक्षर कर सकते हैं, क्योंकि इसे पुन: उत्पन्न किया जा सकता है।

उसके लिए यहां एक छोटी सी स्क्रिप्ट है: https://github.com/rugk/gittools/blob/master/signrelease.sh

rugk 8 जून 2018

@rugk उपयोगी दिखने वाली स्क्रिप्ट। :मुस्कुराओ:

justinclift 8 जून 2018

क्या किसी योगदानकर्ता टीम के सदस्य को उल्लंघन की खोज से पहले 1.4.2 का संग्रह मिला है?

ऐसा लगता है कि आपने बहुत से लोगों को अंधेरे में छोड़ दिया है कि इस बाइनरी को किसी भी लिनक्स रिलीज के लिए बदल दिया गया है या नहीं, जो कि जानकारी का एक महत्वपूर्ण हिस्सा है:

१) अधिकांश परिनियोजन लिनक्स स्टैक में होंगे

2) लिनक्स स्टैक बाइनरी ट्रोजन के आदी नहीं हैं और आमतौर पर सिस्टम पर पहले से चल रहे संदिग्ध कोड का प्रोग्रामेटिक रूप से पता लगाने के लिए सर्वोत्तम टूल के अनुकूल नहीं हैं।

जबकि मैं यह मानना चाहता हूं कि यह एक साधारण विंडोज-लक्षित हमला था और इससे ज्यादा कुछ नहीं, तथ्य यह है कि उन्होंने इस विशिष्ट भंडार को उपयोगकर्ताबेस विकास में नाटकीय स्पाइक में कुछ ही दिनों में लक्षित किया, यह एक और अच्छी तरह से ऑर्केस्ट्रेटेड प्रयास का संकेत है। मुझे अत्यधिक संदेह है कि जो कोई भी जानता था कि वे क्या लक्ष्य बना रहे थे और इस तरह की चीज़ों को कैसे दूर करना है, उन्होंने अधिक से अधिक मेजबानों को संक्रमित करने का इतना परिपक्व अवसर गंवा दिया होगा।

stanier 8 जून 2018

@ stanier dl.gitea.io प्रभावित नहीं हुआ था और हमने सत्यापित किया है कि किसी अन्य बायनेरिज़ के साथ छेड़छाड़ नहीं की गई थी

lafriks 8 जून 2018

तो यह बताता है कि क्यों हमारे वेबप्रॉक्सी ने हब.डॉकर.कॉम से नवीनतम गीता छवि डाउनलोड करने से इनकार कर दिया ...

hhenkel 8 जून 2018

@lafriks तो क्या आप पुष्टि कर सकते हैं कि c843d462 और e14e54f3 दोनों सुरक्षित हैं? यदि सीआई ने एक अलग हस्ताक्षर के साथ एक बिल्ड प्रदान किया है, तो स्रोत कोड या निर्माण के लिए उपयोग किए गए कंपाइलर के पैरामीटर में कुछ बदल गया होगा। यह अपने आप में एक मामूली तकनीकीता है, लेकिन यह सीधे तौर पर यहां कभी नहीं बताया गया था कि विरोधी ने 1.4.2 लिनक्स बायनेरिज़ को बदल दिया है या नहीं, केवल संबंधित .exe बायनेरिज़ @daviian द्वारा टिप्पणी में उल्लिखित है।

बस स्पष्ट करने के लिए, मैं जीएच रेपो के रिलीज पेज बाइनरी के बारे में पूछ रहा हूं, dl.gitea.io नहीं, मैं समझता हूं कि जीएच रेपो के बाहर कुछ भी छेड़छाड़ नहीं की गई थी।

stanier 8 जून 2018

लिनक्स स्टैक बाइनरी ट्रोजन के आदी नहीं हैं और आमतौर पर सिस्टम पर पहले से चल रहे संदिग्ध कोड का प्रोग्रामेटिक रूप से पता लगाने के लिए सर्वोत्तम टूल के अनुकूल नहीं हैं।

हमम, क्या अधिकांश पैकेज प्रबंधकों (और समान) के पास कम से कम sha* चेकसम सत्यापित करने का प्रावधान नहीं है? जरूरी नहीं कि सिर्फ मैलवेयर का पता लगाने के लिए, बल्कि "यह सत्यापित करें कि डाउनलोड दूषित नहीं था"।

justinclift 8 जून 2018

@justinclift हाँ, लेकिन यह केवल पैकेज मैनेजर के माध्यम से स्थापित बायनेरिज़ पर लागू होता है। यहां विचाराधीन मुद्दा GitHub से सीधे डाउनलोड से संबंधित है, जिसमें मेरे सर्वोत्तम ज्ञान के लिए कोई भी एम्बेडेड मालवेयर डिटेक्शन नहीं है।

stanier 8 जून 2018

आह। शब्द "लिनक्स स्टैक्स" ने मुझे फेंक दिया, क्योंकि मैं एक स्वचालित समाधान के बजाय कुछ सरलीकृत एक-बंद चीजें (उदाहरण के लिए प्रोटोटाइप) होने के लिए डाउनलोड को निर्देशित करने के लिए अधिक उपयोग कर रहा हूं। कोई चिंता नहीं। :मुस्कुराओ:

justinclift 8 जून 2018

@stanier सभी को साफ़ करने के लिए ड्रोन द्वारा बिल्ड को फिर से बनाया गया था। हर बार जब आप बाइनरी बनाते हैं तो गो समान बाइनरी प्रदान नहीं करता है क्योंकि कुछ चर बदल सकते हैं (जैसे बिल्ड टाइम) इसलिए यह सामान्य है कि हैश अलग है।
मुझे जांच के दौरान सभी बाइनरी मिलीं और जैसे ही मैं अपने पर्सनल कंप्यूटर पर पहुंचूंगा, हैश प्रदान कर सकता हूं।

सभी के लिए, कृपया अफवाहों पर बहस बंद करें और रचनात्मक इनपुट प्रदान करें।
मैं समझता हूं कि आप अपनी सुरक्षा की चिंता करते हैं और हम इसकी बहुत परवाह करते हैं (क्योंकि हम भी गीता के उपयोगकर्ता के रूप में आपके स्थान पर हैं)। वर्तमान में पहुंच बदल दी गई है और हमें अब कोई संदिग्ध गतिविधि नहीं दिखाई दी है। हमने इस मुद्दे को जल्द से जल्द पारदर्शी होने के लिए सूचित करने और जांच के लिए उपयोगी किसी भी डेटा से इनपुट प्राप्त करने में सक्षम होने या छूटे हुए स्थान को प्राप्त करने में सक्षम होने के लिए किया है क्योंकि कोई भी पूर्ण नहीं है।
क्या होता है यह समझाने के लिए हम पोस्टमॉर्टम करेंगे और भविष्य में इसे रोकने के लिए हम निश्चित रूप से कार्रवाई के बारे में सोचेंगे।
यदि यह मुद्दा बेकाबू हो जाता है, तो मुझे लगता है कि हमें केवल उपयोगी और संक्षिप्त जानकारी रखने के लिए बंद करना होगा और बहस को विवाद के लिए भेजना चाहिए कि इसे कहाँ जाना चाहिए।

sapk 8 जून 2018

👍2

भविष्य में ऐसी स्थिति से बचने के लिए हम अगले संस्करण के साथ सभी बायनेरिज़ पर हस्ताक्षर करना शुरू कर देंगे। मैंने ड्रोन के लिए एक प्लगइन बनाया है जिसे आप https://github.com/drone-plugins/drone-gpgsign पर पा सकते हैं (इस प्लगइन के लिए प्रलेखन करना होगा) जो सभी बायनेरिज़ पर हस्ताक्षर करेगा, सार्वजनिक कुंजी अपलोड की जाएगी डाउनलोड सर्वर और की-सर्वर के लिए, आप हमेशा एक भरोसेमंद तरीके से बायनेरिज़ को सत्यापित करने में सक्षम होंगे।

बस आपको एक उदाहरण दिखाने के लिए कि यह कैसा दिखेगा और परिणाम क्या हैं, आप https://github.dronehippie.de/webhippie/ldap-proxy/49/18 और https://dl.webhippie.de पर एक नज़र डाल सकते हैं।

यदि आपको लगता है कि इस प्लगइन में वास्तव में कुछ महत्वपूर्ण याद आ रही है, तो बेझिझक प्लगइन रिपॉजिटरी पर एक मुद्दा खोलें और मैं इसे संबोधित कर सकता हूं।

tboerger 8 जून 2018

👍9

@sapk स्पष्टीकरण के लिए धन्यवाद। मैं क्षमा चाहता हूं, इसने मेरे दिमाग को पूरी तरह से खिसका दिया कि यह परियोजना गोलंग-आधारित थी - इस तरह के अधिकांश मुद्दे पुराने सॉफ़्टवेयर के साथ सौदा करते हैं, इसलिए मुझे लगता है कि मेरा दिमाग एक झूठे संबंध में कूद गया। मेरी गलती।

stanier 8 जून 2018

मैंने अपलोड किए गए install.exe बाइनरी पर एक नज़र डालना शुरू कर दिया है: https://grh.am/2018/a-look-at-the-compromised-gitea-release/

ऐसा लगता है कि यह सिर्फ गीता ही नहीं थी, बल्कि https://github.com/opencompany/www.opencompany.org/releases भी इससे प्रभावित हुई थी।

graystevens 8 जून 2018

👍9 ❤2

स्पष्ट स्पष्टीकरण के लिए धन्यवाद।

मुझे लगता है कि यह समस्या डिस्ट्रो-विशिष्ट पैकेजिंग के माध्यम से जाने का मुख्य कारण है। यह पैकेजिंग और संभावित दुर्भावनापूर्ण कोड/बाइनरी (विशेष रूप से इस तरह के सकल प्रयास के मामले में) पर अधिक ध्यान देता है। गीता के लिए कम से कम डेबियन/रेडहैट/आर्कलिनक्स पैकेज होना बहुत अच्छा होगा: जो कई लोगों को उनके उत्पादन सर्वर पर एक मनमाना बाइनरी चलाने से रोकेगा :)

क्या पीजीपी-रिलीज पर हस्ताक्षर करना पर्याप्त है? शायद। बस अपनी सार्वजनिक कुंजी को कई अलग-अलग प्लेटफार्मों पर विज्ञापित करना सुनिश्चित करें ताकि समझौता करने के लिए आपकी वेबसाइट हर किसी को गलत कुंजी डाउनलोड न करे। (लेकिन बैकपोर्ट में एक डेबियन पैकेज <3 होगा)

(इसके अलावा, प्रतिलिपि प्रस्तुत करने योग्य बनाता है ?)

paulcmal 8 जून 2018

चूंकि आप बाइनरी रिलीज़ पर हस्ताक्षर करना शुरू कर देंगे, क्या आप रजिस्ट्री में धकेले गए डॉकर छवियों पर हस्ताक्षर करने पर भी विचार कर सकते हैं?

vbrandl 8 जून 2018

👍4

ऐसा लगता है कि यह सिर्फ गीता ही नहीं थी, बल्कि https://github.com/opencompany/www.opencompany.org/releases भी इससे प्रभावित हुई थी।

अगर वे अभी तक अपने GitHub मुद्दों को नहीं देख रहे हैं, तो बस अपने संपर्क लोगों को सीधे ईमेल करें।

justinclift 8 जून 2018

❤1

@graystevens क्या उस पेस्टबिन कर्मचारियों से संपर्क किया जाना चाहिए, या क्या पहले मैलवेयर का पूरी तरह से विश्लेषण करना बेहतर है ताकि इसे ठीक से समझा जा सके?

justinclift 8 जून 2018

सभी को धन्यवाद.. फिर से डाउनलोड करूंगा और अपने सर्वर को वापस रखूंगा

adelowo 8 जून 2018

@justinclift मैं अब पेस्टबिन को पेस्ट की रिपोर्ट करूंगा - मेरे पास सामग्री की एक प्रति है ताकि हम मैलवेयर के लिए आउटपुट को फिर से बना सकें जो हमें चाहिए। अच्छा चिल्लाओ

graystevens 8 जून 2018

निष्पक्ष होने के लिए, गो में अब प्रतिलिपि प्रस्तुत करने योग्य निर्माण है: https://blog.filippo.io/reproducting-go-binaries-byte-by-byte/
हो सकता है कि sqlite के लिए cgo और कुछ ऐसे env का निर्माण करें जो उन्हें प्रतिलिपि प्रस्तुत करने योग्य नहीं बनाते हैं।

sapk 8 जून 2018

👍3

केवल जानकारी के लिए, पिछली पुनर्निर्माण और बिना स्पर्श वाली हैश सूची। यदि आपके पास हैश है तो इसका मतलब है कि आपके पास पुनर्निर्माण से पहले बाइनरी है जिसे हमने 1.4.2 रिलीज को रीसेट करने के लिए किया है और हमले से पहले भी। अगर ऐसा है तो आप उनके साथ रह सकते हैं।

156655506d373241fea6b8955acbe6fdc148f06b49b4f6e46d11cadcd00d7316  gitea-1.4.2-darwin-10.6-386
5730c1a471dfc2c055442360d431c950b3a4f266403c5f327c94a68b88e67a10  gitea-1.4.2-darwin-10.6-amd64
8c3cc2127161695dea512176cd4282711e8c57972f333253cc89597dfab002ef  gitea-1.4.2-linux-386
e14e54f334ce022d2026d0801da1ed1bf3bcba751b16fb290bae4d10d14482e9  gitea-1.4.2-linux-amd64
bca75d81c52b9aa57fd05b8f7ce0572abae3e1a008d8ab77840ca08c53975867  gitea-1.4.2-linux-arm-5
3aa791afce2e3450461038e09622fe04f34b891c47db641be50b6cc3f772645e  gitea-1.4.2-linux-arm64
fc73d06621fc23a944a2a8ee3b19fbd8edb972b0cdaefa67248eb885aa4d6240  gitea-1.4.2-linux-arm-6
5b76cd9b84846c09ba3627219a6cad99542a53d8eec71a427a433ab82eaabacf  gitea-1.4.2-linux-arm-7
4fafeabfa069066fd624364b47b5729f8f068545d4cd8a3620774a982937ac16  gitea-1.4.2-linux-mips64le
7d9e0afcd315f0efbfb26cab303b3fee3939fa0e081b0d3f4f480f950d0a9870  gitea-1.4.2-linux-mips64
7f2e3c1163823889bec1fdd34b4135149c83d53b6dc86f186821e51e0f839e53  gitea-1.4.2-linux-mipsle
a1b8338113d4fdb0360582ba18f6fce97722c779493e7d7e07594d78c7c3f003  gitea-1.4.2-linux-mips
82ad50932bd927ead2e7da4e4c575d94f88e0105a82eda4cce1df7c9fc5ba0dc  gitea-1.4.2-windows-4.0-386.exe
86d7332894390ccaedd39be891044d829f54d4cd71fa21fce5dbd9bc3abbce44  gitea-1.4.2-windows-4.0-amd64.exe

sapk 8 जून 2018

ऐसा लगता है कि install.exe क्लीनअप पास कुछ रिपॉजिटरी से चूक गया है:

इनमें से अधिकांश पुराने हैं और बिल्कुल प्रासंगिक नहीं हैं, लेकिन मैलवेयर को इधर-उधर रखना शायद एक अच्छा विचार नहीं है।

jvanraaij 20 जून 2018

👍5

@ पागल

गो-क्सोर्म

गो-टैंगो

https://github.com/go-tango/gos/releases
https://github.com/go-tango/social-auth/releases
https://github.com/go-tango/wego/releases
https://github.com/go-tango/manual-en-US/releases
https://github.com/go-tango/manual-zh-CN/releases

गो-एक्सवेब

https://github.com/go-xweb/xrun/releases
https://github.com/go-xweb/log/releases
https://github.com/go-xweb/docs-zh-CN/releases
https://github.com/go-xweb/httpsession/releases
https://github.com/go-xweb/xweb/releases
https://github.com/go-xweb/uuid/releases

गोफ्टपी

गोबुक

https://github.com/gobook/gobook/releases
https://github.com/gobook/bookserver/releases
https://github.com/gobook/blackfriday/releases

टैंगो

गोबिल्ड

https://github.com/gobuild/goyaml/releases
https://github.com/gobuild/got/releases
https://github.com/gobuild/log/releases
https://github.com/gobuild/oauth2/releases
https://github.com/gobuild/gobuild/releases
https://github.com/gobuild/gopack/releases
https://github.com/gobuild/travis-autobuild/releases
https://github.com/gobuild/awesome-go-tools/releases

yasuokav 20 जून 2018

👍5

उह, धन्यवाद। इनका पता लगाने के लिए आप किस दृष्टिकोण का उपयोग कर रहे हैं? ऐसा लगता है कि GitHub के कर्मचारियों ने जो भी तरीका अपनाया है, वह वास्तव में 100% प्रभावी नहीं है। : भोंकना:

justinclift 20 जून 2018

@jvanraaij @yaggytter धन्यवाद।

lunny 21 जून 2018

चूंकि हमारी जांच के बाद और कुछ भी प्रभावित नहीं हुआ था और गिटहब द्वारा कोई और जानकारी नहीं दी गई थी, मुझे लगता है कि इस मुद्दे को बंद किया जा सकता है। इस बारे में ब्लॉग पोस्ट लिखने वाला कोई है?

lafriks 25 जून 2018

@lafriks मैंने इस ब्लॉग पोस्ट को इस सब के शुरू होने के कुछ दिनों के भीतर वापस

graystevens 25 जून 2018

मुझे लगता है कि वह गीता ब्लॉग पर पोस्ट-मॉर्टम ब्लॉग पोस्ट लिखना चाहता है :)

tboerger 25 जून 2018

👍3

@graystevens BTW आपकी साइट नोटिस लिंक 404 है। :मुस्कुराओ:

rugk 25 जून 2018

👍1

चूंकि हमारी जांच के बाद और कुछ भी प्रभावित नहीं हुआ था और गिटहब द्वारा कोई और जानकारी नहीं दी गई थी ...

डेटा बिंदु के रूप में, हालांकि गिटहब ने सार्वजनिक रूप से इस बारे में कुछ नहीं कहा है, निजी तौर पर उन्होंने जवाब दिया है (ईमेल के माध्यम से) प्रभावी ढंग से कहने के लिए "धन्यवाद, हम जांच कर रहे हैं।"

@jvanraaij और @yasuokav की उपरोक्त टिप्पणियों से भी मदद मिली, क्योंकि (अजीब तरह से, मेरे PoV से) GitHub को इससे पहले मैलवेयर के वे विशेष उदाहरण नहीं मिले हैं।

justinclift 25 जून 2018

उदाहरण के लिए, यहां @yasuokav द्वारा सूचीबद्ध सभी रेपो में अभी भी मैलवेयर है: https://github.com/crossoverJie/SSM/issues/36

मैं इसे इंगित करने के लिए GitHub कर्मचारियों को फिर से ईमेल करूँगा। देखने के लिए एक सटीक सूची के साथ सीधे संपर्क करने पर उन्हें कुछ दिनों के भीतर चीजों का ध्यान रखना प्रतीत होता है।

justinclift 25 जून 2018

यह अन्य सभी परियोजनाओं के लिए दुखद है, लेकिन कम से कम गीता के लिए हमने मुद्दों को ठीक से हल किया है, उम्मीद है ... :)

tboerger 25 जून 2018

👍3 😄1

इस मुद्दे को बायनेरिज़ के रूप में बंद करना अब हस्ताक्षरित है, और 2FA लागू किया गया है।

techknowlogick 21 जुल॰ 2018

👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Gitea: गीताबॉट खाते से छेड़छाड़ की गई थी

सबसे उपयोगी टिप्पणी

सभी 75 टिप्पणियाँ

संबंधित मुद्दों