URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 134384
[ Назад ]
Исходное сообщение
"Доступ к данным из удалённых и приватных репозиториев на GitHub, имеющих форки"
Отправлено opennews , 25-Июл-24 11:14 
Компания Truffle Security опубликовала сценарии атак на несколько типовых приёмов работы с репозиториями на GitHub, позволяющие извлечь данные из удалённых репозиториев, у которых имеются публичные форки или которые были созданы как форки...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=61605

Содержание
Сообщения в этом обсуждении
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 11:14 
Дагестанские ученые открыли дверь. Уже обсасывали эту новость, гитхаб уже давно добавил плашку "вы смотрите изменения в форке!! в апстриме таких правок нет!!"
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено анон , 25-Июл-24 11:22 
Опять новость до конца не дочитал?
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено IdeaFix , 25-Июл-24 11:23 
В апстринме этих АПИ коючей нет!


Ну а если серьезно, то не стоит тащить в "лабу с ключами" в гитхаб.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 11:32 
Не надо пользоваться гитхабом
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено nume , 25-Июл-24 11:51 
Не надо пользоваться интернетом
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 16:09 
Гитхаб самая популярная платформа. Хостишься на других - автоматически снижаешь количество потенциальных коммитеров. Если цель не работать, а скакать между хостингами - можно хоть в локальный гит класть.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 26-Июл-24 23:09 
Если цель не работать, а привлекать любых соблазнившизся коммитеров - тогда да.
В остальном всё с ног на голову: ценность не в коде, который ты собрался писать, а в чужой платформе, куда ты собрался все выкладывать.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 11:32 
Так вроде сама концепция Гита это и подразумевает.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 12:07 
Нет
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено pavlinux , 25-Июл-24 12:07 
>  позволяющие извлечь данные из удалённых репозиториев, у которых имеются публичные форки

Ну желаю им удачи извлечь что-то из 192.168.0.1

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 12:29 
> Ну желаю им удачи извлечь что-то из 192.168.0.1

Халявный интернет из него довольно неплохо извлекается, если что :)

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено pavlinux , 25-Июл-24 12:40 
>> Ну желаю им удачи извлечь что-то из 192.168.0.1
> Халявный интернет из него довольно неплохо извлекается, если что :)

Давай подробнее, скрипты, сценарии, ссылки,  а то ж через /dev/astral  каждый может.

Внешний IPшник сейчас 85.140.171.130 - жду! 


# netstat -tucln -p 
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      1725/dnsmasq        
udp        0      0 127.0.0.1:53            0.0.0.0:*                           1725/dnsmasq        
udp        0      0 224.0.0.251:5353        0.0.0.0:*                           3728/chrome      

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено pavlinux , 25-Июл-24 13:04 
> Внешний IPшник сейчас 85.140.171.130 - жду!

Обломись, lease time уже протух, ищи рядом  - 85.140.0.0/16

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 12:41 
Прямо очень халявный — заплатил провайдеру и пользуешься.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено pavlinux , 25-Июл-24 12:09 
>  позволяющие получить полный доступ ко всем репозиториям  на GitHub.

А, всë таки на житхаб, а не удалëнно?!  

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Соль земли , 25-Июл-24 12:54 
Первый сценарий: делаем временные API ключи.
Второй сценарий: github должен добавить purge. Потому что удалённые коммиты даже остаются доступны по хэшу. Помогает только полный снос репозитория.

А вообще github не подходит для приватной разработки. И мне кажется, что и gitlab тоже не стоит наружу выставлять.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 13:18 
>Помогает только полный снос репозитория.

В том то и дело, что даже он не помогает.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 13:04 
Я только что проверил: заменённые коммиты многолетней давности - на месте. Если бы гитхаб чистил объекты без ссылок, то такого бы не было.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 21:25 
> Компания удалила репозиторий через который была утечка, но ключи по-прежнему остались доступны для извлечения через обращения по хэшу коммита в репозиториях с форками.

Если колбоса из бутерброда упала на пол и её успели поднять за 5 сек, то не считается что упала. Можно просто отряхнуть и вложить назад в бутер .. и подать клиенту на стол.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 25-Июл-24 23:15 
А еще можно было просто склонировать репозиторий до того как удалили.. и да, там оно волшебным образом не удалится, когда у оригинальном репозитории чтото там удалят.

ахтунг, я открыл новую уязвимость!

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Микхаэль , 26-Июл-24 00:27 
После удаления в апстриме, вас вежливо попросят следовать тому же принципу. Если вы не пойдёте на встречу, то вас будут судить. Только уже тролли))
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 26-Июл-24 00:40 
Уязвимость с выложенными паролями бредовая какая-то.  Если нечаяно выложили логины/пароли, то их надо срочно менять, а не надеяться, что никто прочитать не успел.

Остальные "уязвимости" тоже уязвимости только в чьем-то воображении, кроме пожалуй доступа к приватной части репозитория, которая осталась закрытой после раскрытия другой части.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 26-Июл-24 16:42 
>Если нечаяно выложили логины/пароли, то их надо срочно менять, а не надеяться, что никто прочитать не успел.

А если кто-то в репозиторий по ошибке закоммитил секретную документацию, полученную от партнёров? Ждать, пока партнёр засудит, или всё же снести?

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Электрон , 27-Июл-24 21:28 
Очень даже реальный случай: с частного репозитория лилась потоком метаинформация типа "новый коммит + заголовок" на радость публике в канал Discord. В один прекрасный день один из коммитов был тестово-пентестовым. "Немного" раскрыл удавшуюся шалость в отношении auth сервера одной из дочерних компаний Microsoft. На самом деле много раскрыл, правда кипишь поднялся не по этой причине.

А тут же получается бывший публичный проект + непубличный форк + коммит = раскрытие информации. Коммиты либо 6-12 хексов запечатываются как build id или, как они показали, перебором. А все почему? Не проверяется принадлежность коммита к репозиторию ему создавшему, потому что объектное хранилище значит одно, а их ПО не утруждает себя ведением состояния и прав, и проверкой доступа.

"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 26-Июл-24 12:34 
Вы сами выложили данные на сервера гита, а теперь беспокоитесь, что они могу "утечь"?
Лол.
Ну так все проблемы гита из за - "би дезигн".
Зачем они эти обязательные форки оригинального репа, перед моим коммитом внедрили?
Теперь пожинают плоды.
"Доступ к данным из удалённых и приватных репозиториев на Git..."
Отправлено Аноним , 26-Июл-24 16:44 
Для оптимизации хранения же. Ты ещё скажи спасибо, что там глобальной дедупликации нет, что все репозитории не являются implicitly форком одного и того же репозитория и что любой файл нельзя получить просто по хэшу.