Исследователи обнаружили уязвимость (CodeQLEAKED) в инструменте статического анализа кода CodeQL, используемом на GitHub — крупнейшем веб-сервисе для хостинга IT-проектов и их совместной разработки. Ситуация усугубляется наличием готового скрипта для эксплуатации уязвимости, что делает её доступной даже для злоумышленников с невысокой квалификацией. Александр Катасонов, инженер-аналитик лаборатории развития и продвижения компетенций кибербезопасности компании «Газинформсервис», отмечает, что это подрывает все три основополагающих принципа информационной безопасности.

«В сфере информационной безопасности выделяют три ключевых принципа: конфиденциальность, целостность и доступность, — объясняет Катасонов. — Обнаруженная уязвимость ставит под угрозу все эти аспекты. Учитывая популярность GitHub, эксплуатация подобной уязвимости может стать одной из самых серьёзных угроз для множества IT-компаний и пользователей. Наличие готового скрипта для использования этой уязвимости значительно увеличивает её опасность».

Многие компании разворачивают подобные сервисы в своей внутренней инфраструктуре для анализа кода на этапе разработки. Однако при интеграции таких решений в случае уязвимости появляется брешь в системе безопасности. Для защиты интеллектуальной собственности компаниям важно внедрять цикл безопасной разработки.

«Эксплуатация данной уязвимости позволяет злоумышленникам получить доступ к конфиденциальным данным о разрабатываемом коде. Чтобы предотвратить такие инциденты, необходимо использовать комплексные средства защиты информации. Тем не менее современные злоумышленники находят всё более изощрённые способы обхода этих мер. В таких случаях необходимо использовать защищённые средства безопасной разработки, реализованные в SafeERP. В данном продукте имеются различные модули, которые предоставляют автоматизированную функциональность для анализа и обеспечения безопасности кода. Реализуются синтаксические и семантические разборы кода, что обеспечивает высокий уровень защищённости, полный контроль и безопасность при разработке», — отмечает киберэксперт.