GitHub revocó claves SSH inseguras generadas por un cliente git popular

La plataforma de alojamiento de código GitHub, revocó las claves de autenticación SSH débiles que se generaron a través del cliente GUI de GitKraken git, debido a una vulnerabilidad en una biblioteca de terceros que aumentó la probabilidad de claves SSH duplicadas.

Como medida de precaución adicional, la compañía propiedad de Microsoft, también mencionó que está creando salvaguardas para evitar que las versiones vulnerables de GitKraken agreguen claves débiles recién generadas.

La dependencia problemática, denominada «keypair«, es una biblioteca de generación de claves SSH de código abierto que permite a los usuarios crear claves RSA para fines relacionados con la autenticación. Se ha descubierto que afecta a las versiones 7.6.x, 7.7.x y 8.0.0 de GitKraken, lanzadas entre el 12 de mayo de 2021 y el 27 de septiembre de 2021.

Pero debido a un error en el generador de números pseudoaleatorios utilizado por la biblioteca, el error resultó en la creación de una forma más débil de claves SSH públicas, que debido a su baja entropía, es decir, la medida de aleatoriedad, podría aumentar la probabilidad de duplicación de claves.

«Esto podría permitir a un atacante descifrar mensajes confidenciales u obtener acceso no autorizado a una cuenta que pertenece a la víctima», dijo Julian Gruber, mantenedor del proyecto Keypair. Desde entonces, el problema se corrigió en la versión 1.0.4 del par de claves y la versión 8.0.1 de GitKraken.

El ingeniero de Axosoft, Dan Suceava, fue reconocido por descubrir la debilidad de seguridad, mientras que el ingeniero de seguridad de GitHub, Kevin Jones, fue reconocido por identificar la causa y la ubicación del código fuente del error. Hasta ahora no existe evidencia de que la vulnerabilidad haya sido explotada en la naturaleza.

Sin embargo, se recomienda a los usuarios que revisen y «eliminen todas las claves SSH antiguas generadas por GitKraken almacenadas de forma local y generen nuevas claves SSH utilizando GitKraken 8.0.1, o posterior, para cada uno de sus proveedores de servicios Git», como GitHub, GitLab y Bitbucket.

Grupo de WhatsApp: https://chat.whatsapp.com/HcazyklpyeU4X3BF657KFQ
Grupo de Telegram: https://t.me/Masterhacks_net

Donaciones
Gracias por apoyar el libre conocimiento!
Bitcoin: bc1q4sw9260twfcxatj8mjp7358cyvrf8whzlelyhj
Litecoin: LbFduJmHvQXcpCnwfUT7aJ4DYoWSL3iQw8
BCH: qqnkqcu8sa90zuuzd2nvdrslgdv3u5ta6cy4ch0rnq
Ethereum: 0xFb93D2a3c9d1A0b83EE629c2dE1725BCa192e581

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *