- ״חוקר אבטחה גילה פגיעות באפליקציית Arc, המאפשרת ביצוע JavaScript שרירותי בדפדפנים של משתמשים אחרים על ידי מניפולציה של שדה creatorID.״
- הפגיעות דווחה, תוקנה, ופרס של 2,000 דולר הוענק בתוך יום, כאשר CVE (CVE-2024-45489) הוקצה מאוחר יותר.
- ארק הגיבה על ידי התייחסות לחששות הפרטיות, כיבוי Firebase, והתחלת תוכנית באג באונטי לשיפור האבטחה.
- החברה לדפדפנים, יצרני Arc, חשפה פגיעות משמעותית שאפשרה גישה לדפדפנים של משתמשים ללא ביקור באתר ספציפי. הבעיה תוקנה, ולא היו משתמשים שנפגעו.
- ״החברה מתכננת לעבור מ-Firebase, להקים תוכנית למציאת באגים, ולחזק את צוות האבטחה שלהם, כולל גיוס מהנדס אבטחה בכיר חדש.״
- התקרית עוררה דיונים לגבי ההולמות של פרס הבאגים בסך 2,000 דולר, כאשר רבים מציעים שהוא צריך להיות גבוה בהרבה בהתחשב בחומרת הפגיעות.
- SimpleIcons.org שחררה אוסף של 3,000 אייקוני SVG חינמיים למותגים פופולריים, מה שמשך תשומת לב רבה מקהילת הטכנולוגיה.
- האוסף בולט במגוון הרחב ובקלות השימוש שלו, אך מומלץ למשתמשים לבדוק את הסכמי הרישוי כדי להימנע מהפרות פוטנציאליות של סימני מסחר.
- פרסום זה עורר דיונים על ההשלכות המשפטיות של שימוש בלוגואים של מותגים ללא אישור מפורש, והדגיש את החשיבות של הבנת זכויות הקניין הרוחני.
- ״תוקפים מנצלים הודעות דוא"ל של GitHub להפצת תוכנות זדוניות על ידי יצירה ומחיקה מהירה של בעיות במאגרי ציבוריים.״
- לתוכנה הזדונית, שנקראת 'LUMMASTEALER', גונבת נתונים רגישים כמו ארנקי מטבעות קריפטוגרפיים ואישורים שמורים על ידי הטעיית המשתמשים להריץ פקודת PowerShell זדונית.
- ״ההתקפה מנצלת חולשות בטיפול של Windows בקבצים שהורדו ובתעודות חתימת קוד, ושיפורים במיילי ההתראה של GitHub יכולים להפחית איומים כאלה.״
- גיטאהב הודעות דוא"ל נוצלו להפצת תוכנות זדוניות, מה שמעלה חששות לגבי אבטחה.
- דיונים מדגישים את החשיבות בזיהוי דגלים אדומים, כגון דומיינים חשודים ופקודות הדורשות קלט מעטפת, כדי להימנע מנפילה להונאות.
- ״השיחה מדגישה שגם משתמשים מנוסים יכולים להיות מרומים, מה שמבליט את הצורך באמצעי אבטחה משופרים ב-GitHub.״
- פוסט הבלוג מספק מדריך מעמיק על העברת פורטים ותיעול, כולל מקרי שימוש, תצורה ומגבלות.
- ״נושאים מרכזיים כוללים הצפנת חיבורים לא מאובטחים, גישה לפאנלים ניהוליים של את רים דרך SSH, ושימוש ב-SSH jumphosts כדי להגיע לשרתים פנימיים.״
- פרטי תצורה ופקודות חשובות להעברת פורטים מקומית, מרוחקת ודינמית מפורטים, יחד עם המגבלות והסיכונים הפוטנציאליים של מנהור SSH.
- בשנת 2024, מומלץ להגדיר את
~/.ssh/config
עם LocalForward
, RemoteForward
, ו-ProxyJump
כדי לייעל את חיבורי ה-SSH ולחסוך זמן.
- ״ההגדרה הזו מאפשרת פעולות SSH, SCP ו-RSYNC חלקות לשרת יעד באמצעות כינוי ומעבירה פורטים ספציפיים לגישה מקומית ומרוחקת.״
- באמצעות
0.0.0.0
במקום localhost
או 127.0.0.1
ניתן לחשוף פורטים על כל ממשקי הרשת, לכן יש לוודא הגדרות חומת אש נכונות לשמירה על אבטחה.