GitHub Desktop和Atom用户的代码签名证书被盗

如下Mac 版GitHub Desktop 版本已失效：3.0.2、3.0.3、3.0.4、3.0.5、3.0.6、3.0.7、3.0.8、3.1.0、3.1.1和 3.1.2。Atom 1.63.0的版本1.63.0和1.63.1也将在2023年2月2日停止运行，因此用户应降级至此前版本（1.60.0）。Atom 已在2022年12月正式停用。Windows 版本的 GitHub Desktop 不受影响。

GitHub 表示检测到威胁者越权访问一些仓库，其中有些仓库源自GitHub Desktop 和 Atom 规划和开发中的遭弃用的 GitHub 所拥有的组织机构。这些组织机构的仓库据称是由与某机器账号存在关联的受陷个人访问令牌在事件发生一天前克隆的。这些仓库中均未包含客户数据，而受陷凭据已被撤销。GitHub 并未透露该令牌如何遭攻陷。

GitHub 指出，这些仓库中存储多个加密的代码签名证书，目前尚未证据表明威胁者能够解密或使用这些证书。值得关注的是，成功解密这些账户可导致攻击者通过这些证书签名木马化应用并将其以源自GitHub的方式传递。

受陷证书共计三个，其中两个Digicert代码签名证书用于Windows 系统，一个Apple Developer ID证书。这三个证书将在2023年2月2日撤销。

GitHub 指出，已在2023年1月4日发布Desktop app新版本，并通过未暴露给威胁者的新证书签名。另外GitHub强调称这些仓库中的代码并未遭越权修改。

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~