GitHub 撤销了黑客窃取GitHub Desktop 和 Atom 的代码签名证书

admin 2023年2月1日17:07:21评论54 views字数 832阅读2分46秒阅读模式

GitHub 撤销了黑客窃取GitHub Desktop 和 Atom 的代码签名证书

GitHub周一披露,黑客设法泄露了与某些版本的GitHub Desktop for Mac和Atom应用程序有关的加密代码签名证书。因此,出于谨慎考虑,该公司正在采取措施撤销暴露的证书。以下版本的 GitHub Desktop for Mac 已失效:3.0.2、3.0.3、3.0.4、3.0.5、3.0.6、3.0.7、3.0.8、3.1.0、3.1.1 和 3.1.2。

Atom 1.63.0 的 1.63.1 和 1.63.0 版本预计也将从 2 年 2023 月 1 日起停止工作,要求用户降级到源代码编辑器的先前版本 (60.0.2022)。Atom 于2022 年 12月正式停产。GitHub Desktop for Windows 不受影响。

微软拥有的子公司表示,它检测到对一组存储库的未经授权的访问,包括来自已弃用的 GitHub 拥有的组织,用于 GitHub Desktop 和 Atom 的规划和开发。

据说存储库是在一天前由与计算机帐户关联的受损个人访问令牌 (PAT) 克隆的。所有存储库均不包含客户数据,并且已吊销已泄露的凭据。GitHub没有透露令牌是如何被破坏的。“几个加密的代码签名证书存储在这些存储库中,以便通过我们的GitHub桌面和Atom发布工作流程中的操作使用,”GitHub的Alexis Wales说。“我们没有证据表明威胁行为者能够解密或使用这些证书。

值得指出的是,成功解密证书可能允许攻击者使用这些证书签署木马化应用程序,并将它们作为源自 GitHub 的证书传递。

三个受损证书(两个用于 Windows 的 Digicert 代码签名证书和一个 Apple 开发人员 ID 证书)将于 2023 年 2 月 2 日撤销。

代码托管平台还表示,它于 2023年 1月 4 日发布了新版本的桌面应用程序,该应用程序使用未暴露给威胁参与者的新证书进行签名。它进一步强调,没有对这些存储库中的代码进行未经授权的更改。


原文始发于微信公众号(黑猫安全):GitHub 撤销了黑客窃取GitHub Desktop 和 Atom 的代码签名证书

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年2月1日17:07:21
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   GitHub 撤销了黑客窃取GitHub Desktop 和 Atom 的代码签名证书https://cn-sec.com/archives/1531728.html

发表评论

匿名网友 填写信息