Olhar Digital > Notícias > Ferramenta do GitHub detecta sete falhas no servidor Jenkins

Ferramenta do GitHub detecta sete falhas no servidor Jenkins

Varredura encontrou vulnerabilidades que permitiam enumeração de credenciais armazenadas e substituição de configurações globais em plug-ins AWS
Igor Shimabukuro17/11/2020 22h20, atualizada em 11/11/2022 12h02
20201117073328-1920x1080
Compartilhe esta matéria
Ícone Whatsapp Ícone Whatsapp Ícone X (Tweeter) Ícone Facebook Ícone Linkedin Ícone Telegram Ícone Email

Siga o Olhar Digital no Google Discover

Introduzida no começo de outubro, a nova ferramenta de varredura do GitHub parece corresponder às expectativas. Testada pelo Jenkins — servidor de automação gratuito e de código aberto —, o verificador de segurança foi capaz de identificar sete vulnerabilidades, até então desconhecidas, em plug-ins na ferramenta DevOps.

Ofertas
Monitor Gamer AOC AGON G4S 25" 310Hz 0.3ms HDR10 IPS Base Ajustável 25G4S/P
Vendido por Amazon
Monitor Gamer AOC AGON G4S 25" 310Hz 0.3ms HDR10 IPS Base Ajustável 25G4S/P
Por R$ 1.479,00
Tilibra - Estojo Minibox Happy Lilás
Vendido por Amazon
Tilibra - Estojo Minibox Happy Lilás
De: R$ 38,12
Por: R$ 36,21
Caneta Gel – CiS Gelyx – Estojo com 6 unidades – Glitter
Vendido por Amazon
Caneta Gel – CiS Gelyx – Estojo com 6 unidades – Glitter
De: R$ 30,90
Por: R$ 24,96
Pentel Caneta Izee 4 Cores 1.0 Corpo Branco Tinta Azul Vermelho Verde e Preto SM/BXC470W
Vendido por Amazon
Pentel Caneta Izee 4 Cores 1.0 Corpo Branco Tinta Azul Vermelho Verde e Preto SM/BXC470W
De: R$ 15,32
Por: R$ 9,90
Tilibra - Caderno Brochura Capa Dura 1/4 D+ Rosa 48 Folhas, 317403
Vendido por Amazon
Tilibra - Caderno Brochura Capa Dura 1/4 D+ Rosa 48 Folhas, 317403
De: R$ 11,85
Por: R$ 5,86
Celular Positivo P26 4G Tela 1,8", Câmera traseira, 48MB RAM 128MB, Bluetooth, Modem Tethering - Preto
Vendido por Amazon
Celular Positivo P26 4G Tela 1,8", Câmera traseira, 48MB RAM 128MB, Bluetooth, Modem Tethering - Preto
Por R$ 139,90
Mochila Grande E Reforçada Impermeável Para Notebook Antifurto Bolsa Executiva Masculina Feminina Trabalho Viagem Escolar Faculdade Cabo De Aço Saída Usb Saída Fone De Ouvido
Vendido por Amazon
Mochila Grande E Reforçada Impermeável Para Notebook Antifurto Bolsa Executiva Masculina Feminina Trabalho Viagem Escolar Faculdade Cabo De Aço Saída Usb Saída Fone De Ouvido
De: R$ 149,79
Por: R$ 113,70
Tilibra D+ - Caderno Brochura Capa Dura, 1/4 Pequeno, 14x20cm, 48 Folhas, Vermelho
Vendido por Amazon
Tilibra D+ - Caderno Brochura Capa Dura, 1/4 Pequeno, 14x20cm, 48 Folhas, Vermelho
De: R$ 11,81
Por: R$ 6,90
Garmin Relógio Venu 3 Branco 45mm com Monitor Cardíaco de Pulso e GPS
Vendido por Amazon
Garmin Relógio Venu 3 Branco 45mm com Monitor Cardíaco de Pulso e GPS
De: R$ 4.699,00
Por: R$ 3.099,00
eufy Câmera S3 Pro Kit 2+1 por anker, Câmera De Segurança Wi-Fi Externa Sem Fio, 4K, Energia Solar, Visão Noturna MaxColor, Reconhecimento Facial por IA, Compatível com Alexa, Sem taxas mensais
Vendido por Amazon
eufy Câmera S3 Pro Kit 2+1 por anker, Câmera De Segurança Wi-Fi Externa Sem Fio, 4K, Energia Solar, Visão Noturna MaxColor, Reconhecimento Facial por IA, Compatível com Alexa, Sem taxas mensais
De: R$ 3.499,00
Por: R$ 3.324,00
eufy HomeBase3, Câmera de segurança, Reconhecimento Facial por IA, Armazenamento Local Expansível até 16TB, Criptografia Avançada, Ecossistema de Segurança eufy, Sem taxas mensais
Vendido por Amazon
eufy HomeBase3, Câmera de segurança, Reconhecimento Facial por IA, Armazenamento Local Expansível até 16TB, Criptografia Avançada, Ecossistema de Segurança eufy, Sem taxas mensais
De: R$ 1.049,00
Por: R$ 799,00
Bettdow SmartWatch, Relogio Smartwatch Feminino, 1.27" Ecrã tátil, à prova d'água IP68, 100+ Modos Esportivos, chamada Bluetooth, Compatível com Android iOS, voz por IA (Azul)
Vendido por Amazon
Bettdow SmartWatch, Relogio Smartwatch Feminino, 1.27" Ecrã tátil, à prova d'água IP68, 100+ Modos Esportivos, chamada Bluetooth, Compatível com Android iOS, voz por IA (Azul)
De: R$ 299,00
Por: R$ 241,44
Combo Teclado e Mouse sem fio Logitech POP Icon com Teclas e Botões Personalizáveis, Clique Silencioso, Easy-Switch para até 3 dispositivos e Conexão Bluetooth - Grafite
Vendido por Amazon
Combo Teclado e Mouse sem fio Logitech POP Icon com Teclas e Botões Personalizáveis, Clique Silencioso, Easy-Switch para até 3 dispositivos e Conexão Bluetooth - Grafite
De: R$ 499,90
Por: R$ 388,78
eufy Câmera S330 (eufyCam 3) 2-Cam Kit por anker, Câmera De Segurança Wi-Fi Externa Sem Fio, 4K, Painel Solar, Forever Power, Reconhecimento Facial IA, Armazenamento Local Até 16TB, Sem Taxa Mensal
Vendido por Amazon
eufy Câmera S330 (eufyCam 3) 2-Cam Kit por anker, Câmera De Segurança Wi-Fi Externa Sem Fio, 4K, Painel Solar, Forever Power, Reconhecimento Facial IA, Armazenamento Local Até 16TB, Sem Taxa Mensal
De: R$ 2.399,00
Por: R$ 2.159,00
soundcore Select 4 Go da Anker, Alto-Falante Bluetooth Portátil, 20H de Bateria, IP67 à Prova d'Água e Poeira, Flutuante, Som Potente, Ideal para Ambientes Internos, Externos e Passeios
Vendido por Amazon
soundcore Select 4 Go da Anker, Alto-Falante Bluetooth Portátil, 20H de Bateria, IP67 à Prova d'Água e Poeira, Flutuante, Som Potente, Ideal para Ambientes Internos, Externos e Passeios
De: R$ 339,00
Por: R$ 188,99
WB Smart Tag Localizador Bluetooth, Rastreador Compatível com o Apple Find My, bateria substituível, Localizador de itens para bolsas
Vendido por Amazon
WB Smart Tag Localizador Bluetooth, Rastreador Compatível com o Apple Find My, bateria substituível, Localizador de itens para bolsas
De: R$ 88,00
Por: R$ 45,00
Anker Nano Carregador Portátil, Power Bank Compacto 10000mAh 45W Máx., Bateria Portátil Essencial para Viagens com Cabo Retrátil InstaCord de 70 cm para iPhone 17/16 Series, iPad, Galaxy, Pixel e Mais
Vendido por Amazon
Anker Nano Carregador Portátil, Power Bank Compacto 10000mAh 45W Máx., Bateria Portátil Essencial para Viagens com Cabo Retrátil InstaCord de 70 cm para iPhone 17/16 Series, iPad, Galaxy, Pixel e Mais
De: R$ 399,00
Por: R$ 379,00
Capa com Teclado Combo Touch para iPad (10ª geração e A16) Com Teclado Retroiluminado Destacável com Suporte, Trackpad Preciso e Tecnologia Smart Connector - Cinza
Vendido por Amazon
Capa com Teclado Combo Touch para iPad (10ª geração e A16) Com Teclado Retroiluminado Destacável com Suporte, Trackpad Preciso e Tecnologia Smart Connector - Cinza
De: R$ 1.629,90
Por: R$ 1.239,90
ULANZI VL-200Bi 200W luz de estúdio bicolor, luz de preenchimento COB, iluminação de saída contínua com controle de APP, 2700K-6500K, 6 cenas, montagem Bowens
Vendido por Amazon
ULANZI VL-200Bi 200W luz de estúdio bicolor, luz de preenchimento COB, iluminação de saída contínua com controle de APP, 2700K-6500K, 6 cenas, montagem Bowens
De: R$ 1.179,00
Por: R$ 943,20
eufy Câmera S350, Camera de Segurança Wi-Fi, 4K Inteligente com Câmera Dupla, Visão 360°, Zoom 8×, Visão Noturna, Babá Eletrônica, Rastreamento por IA, Compatível com Alexa e HomeBase 3
Vendido por Amazon
eufy Câmera S350, Camera de Segurança Wi-Fi, 4K Inteligente com Câmera Dupla, Visão 360°, Zoom 8×, Visão Noturna, Babá Eletrônica, Rastreamento por IA, Compatível com Alexa e HomeBase 3
De: R$ 999,00
Por: R$ 798,99
WAAW By ALOK Fone de Ouvido Bluetooth SENSE 310 Com Cancelamento de Ruído e Assistente de Voz, 30h de Bateria
Vendido por Amazon
WAAW By ALOK Fone de Ouvido Bluetooth SENSE 310 Com Cancelamento de Ruído e Assistente de Voz, 30h de Bateria
De: R$ 329,90
Por: R$ 199,00
WAAW by ALOK Caixa de Som US 200SB DUO Bluetooth 2 em 1, Resistente à Água, Acabamento Metálico, TWS, 20W RMS
Vendido por Amazon
WAAW by ALOK Caixa de Som US 200SB DUO Bluetooth 2 em 1, Resistente à Água, Acabamento Metálico, TWS, 20W RMS
De: R$ 599,90
Por: R$ 476,10
Eufy Cam E340 Câmera De Segurança Wi-Fi Dual Band (2.4/5GHz) Exterior, 360° PTZ, Gravação 24/7, 2000 Lúmens, Detecção de Movimento + Sirene Integrada, Câmera Dupla, Sem Taxa Mensal, Branco
Vendido por Amazon
Eufy Cam E340 Câmera De Segurança Wi-Fi Dual Band (2.4/5GHz) Exterior, 360° PTZ, Gravação 24/7, 2000 Lúmens, Detecção de Movimento + Sirene Integrada, Câmera Dupla, Sem Taxa Mensal, Branco
De: R$ 1.199,00
Por: R$ 1.139,05
Novo Kindle Paperwhite Signature Edition (32 GB) - O Kindle mais rápido já lançado, com luz frontal autoadaptável, carregamento sem fio e bateria que dura semanas - Cor Preta Metálica
Vendido por Amazon
Novo Kindle Paperwhite Signature Edition (32 GB) - O Kindle mais rápido já lançado, com luz frontal autoadaptável, carregamento sem fio e bateria que dura semanas - Cor Preta Metálica
De: R$ 1.199,00
Por: R$ 949,00
Combo Teclado e Mouse Sem Fio Logitech MK250 Bluetooth com Conectividade Rápida e Fácil, Design Compacto, Mouse Ambidestro, Layout ABNT2, Construção Durável, Compatível com PC e Mac - Rosa
Vendido por Amazon
Combo Teclado e Mouse Sem Fio Logitech MK250 Bluetooth com Conectividade Rápida e Fácil, Design Compacto, Mouse Ambidestro, Layout ABNT2, Construção Durável, Compatível com PC e Mac - Rosa
Por R$ 169,90
Combo Teclado e Mouse sem fio Logitech MK235 com Conexão USB, Pilhas Inclusas e Layout ABNT2
Vendido por Amazon
Combo Teclado e Mouse sem fio Logitech MK235 com Conexão USB, Pilhas Inclusas e Layout ABNT2
De: R$ 149,90
Por: R$ 119,90
Anker MagGo Power Bank, Carregador Portátil com Certificação Qi2 de 15W, Compatível com MagSafe, 10.000mAh, Tela Inteligente e Suporte Dobrável, para iPhone 17/15/14/13/12, Inclui Cabo USB-C, Branco
Vendido por Amazon
Anker MagGo Power Bank, Carregador Portátil com Certificação Qi2 de 15W, Compatível com MagSafe, 10.000mAh, Tela Inteligente e Suporte Dobrável, para iPhone 17/15/14/13/12, Inclui Cabo USB-C, Branco
De: R$ 699,00
Por: R$ 398,99
Mouse Sem Fio Logitech M330 SILENT com Clique Silencioso, Design Destro, Bateria de 18 Meses, Receptor USB, Compatível com Windows, macOS, ChromeOS e Pilha Inclusa - Preto
Vendido por Amazon
Mouse Sem Fio Logitech M330 SILENT com Clique Silencioso, Design Destro, Bateria de 18 Meses, Receptor USB, Compatível com Windows, macOS, ChromeOS e Pilha Inclusa - Preto
De: R$ 109,90
Por: R$ 79,90
Webcam Full HD Logitech Brio 100 com Microfone Integrado, Proteção de Privacidade, Correção Automática de Luz e Conexão USB-C - Grafite
Vendido por Amazon
Webcam Full HD Logitech Brio 100 com Microfone Integrado, Proteção de Privacidade, Correção Automática de Luz e Conexão USB-C - Grafite
De: R$ 299,90
Por: R$ 199,90

“Muitas das vulnerabilidades de segurança descobertas nos plug-ins do Jenkins são bastante semelhantes entre si e, infelizmente, são específicas do Jenkins, o que significa que as ferramentas genéricas existentes não são capazes de descobri-las”, afirmou Daniel Beck, principal mantenedor do Jenkins e líder da equipe de segurança do servidor.

Durante o experimento, foram encontrados problemas em plug-ins para configurações AWS, Kubernetes, Mercurial, Azure Key Vault e Active Directory. Algumas das falhas encontradas concediam enumeração de credenciais armazenadas no Jenkins para invasores com permissão geral e de leitura (para o plug-in Azure Key Vault) e permitiam substituir a configuração global AWS por conta da ausência de verificações.

“Todos esses problemas foram descobertos com a ajuda dessa ferramenta. Estou feliz com os resultados”, completou Beck.

Reprodução

Com base na tecnologia CodeQL, nova ferramenta do GitHub pode detectar vulnerabilidades em servidores. Foto: madartzgraphics/Pixabay

Como funciona a ferramenta 

Basicamente, a varredura de código do GitHub atua com base na tecnologia chamada CodeQL — um analisador de código semântico de código aberto que funciona em três etapas.

No primeiro estágio, os desenvolvedores executam um extrator de CodeQL, presentes nas linguagens de programação com suporte C / C ++, C #, Go, Java, JavaScript, Python e TypeScript, em seus códigos para a criação de um banco de dados.

Após isso, é necessário escrever consultas — chamadas de QL — na linguagem CodeQL. Isso permite que os desenvolvedores encontrem diversas coisas, como parâmetros não utilizados, por exemplo.

Código de varredura do GitHub se mostrou eficaz nos testes da Jenkins. Créditos: GitHub/Reprodução

Na última etapa a ferramenta de varredura interpreta os resultados da consulta, evidenciando o código suspeito e explicando a importância do problema detectado.

A boa notícia é que o GitHub fornece milhares de consultas pré-escritas, poupando (e muito) o trabalho dos desenvolvedores. Eles são integrados com ferramentas de CI / CD (como ações do GitHub ou Jenkins) para o código ser verificado conforme seja confirmado.

Contudo, é importante frisar que, apesar de as ferramentas de varredura serem extremamente importantes na proteção de códigos, elas também podem ser utilizadas por invasores, em casos de open source.

Via: The Register

Redator(a)

Igor Shimabukuro é redator(a) no Olhar Digital

Ícone tagsTags: