GitHub kritik güvenlik açığını 6 saatte kapatmayı başardı

GitHub, geçen ay kendi iç git altyapısında bulunan kritik bir uzaktan kod çalıştırma (RCE) açığını altı saat içinde giderdi. Açık, Wiz Research tarafından yapay zeka modelleri kullanılarak keşfedildi ve milyonlarca halka açık ve özel kod deposuna saldırganların erişmesini sağlayabilecek nitelikteydi.

Alexis Wales, GitHub'ın baş bilgi güvenliği görevlisi olarak yaptığı açıklamada "Güvenlik ekibimiz hata ödülü raporunun doğrulamasını hemen başlattı. 40 dakika içinde açığı dahili olarak yeniden oluşturduk ve ciddiyetini doğruladık" dedi. GitHub mühendislik ekibi, kök nedeni belirledikten bir saatin kısa bir süre sonra düzeltmeyi geliştirip uyguladı. Bu sayede GitHub.com ve GitHub Enterprise Server her ikisi de korunmuş oldu. Wales, "İki saatin altında bulguyu doğruladık, github.com'a bir düzeltme yaptık ve sürüntü araştırması başlattık; araştırma herhangi bir istismarın olmadığını ortaya koydu" açıklamasında bulundu.

Yapay zeka ile keşfedilen ilk kritik açık

Açık, Wiz tarafından "yapay zeka kullanarak" keşfedildi. Hangi yapay zeka modelinin bu sorunu bulmaya yardımcı olduğu tam olarak netleştirilmedi. Sagi Tzadik, Wiz'deki güvenlik araştırmacısı, "Dikkati çeken şu ki, bu kapalı kaynak ikili dosyalarında yapay zeka kullanılarak keşfedilen ilk kritik açıklardan biri; bu, bu tür kusurların nasıl belirlendiğinde bir kaidayı gösteriyor" yorumunda bulundu.

GitHub'ın hızlı yanıtı sayesinde düzeltme saatlerce içinde uygulanmıştır, ancak Wiz, nadir görülen açığın GitHub'ın karmaşık altyapısına rağmen "dikkat çekici şekilde kolay istismar edilebilir" olduğunu uyarmaktadır. Wales, "Bu seviye ve ciddiyetteki bir bulgu nadirdir ve hata ödülü programımızda sunulan en yüksek ödülleri kazanmıştır. Doğru soruları sormayı bilen yetkin araştırmacılardan gelen en etkili güvenlik araştırmasının bu tür bulgudan geldiğinin hatırlatıcısıdır" diyerek açığın önemini vurgulamıştır.

Bu güvenlik olayı, GitHub'ın son haftalarda daha sık yaşanan kesintiler döneminde meydana gelmiştir. Hizmet, önceki ay bazı kullanıcılar için daha önceden birleştirilmiş kodları geri döndüren önemli bir kesintiye maruz kaldı ve aynı hafta içinde başka kesintiler de yaşandı. İşletmeyi çalıştıran ekip içinde güvenilirlik konusundaki kaygılar yükselişe geçmiştir.