GitHub 轮换密钥，以减轻 CVE-2024-0200 漏洞带来的影响
内容提要
GitHub修复了一个漏洞(CVE-2024-0200)，该漏洞可能允许威胁行为者远程执行代码并访问生产容器环境变量。建议用户安装安全更新以避免潜在威胁。利用该漏洞需要使用组织所有者角色进行身份验证。GitHub已经更换了凭据，并建议用户定期从API中提取公钥。这是GitHub一系列安全漏洞中的最新事件，包括命令注入和SSH密钥泄露事件。
延伸解读
漏洞利用门槛不低，但风险仍不可忽视
CVE-2024-0200 虽可导致远程代码执行并访问生产容器环境变量，但利用需通过组织所有者角色认证，攻击者须先获得高权限账户。这降低了被随机利用的概率，但内部威胁或凭据泄露场景下风险依然存在。GitHub 在收到报告当天即修复并轮换凭证，且基于遥测和日志分析认为漏洞未被利用，但企业仍应尽快安装更新，避免已知漏洞暴露。
密钥轮换后，部分用户需手动导入新公钥
GitHub 已轮换所有可能暴露的凭证，大部分密钥无需客户操作。但使用 GitHub 提交签名密钥、GitHub Actions、GitHub Codespaces 以及 Dependabot 客户加密密钥的用户，需要主动导入新的公钥。此外，GitHub 建议定期从 API 提取公钥，确保使用的是最新数据。这提醒依赖 GitHub 密钥进行签名或加密的团队，应将公钥更新纳入日常运维流程。
GitHub 近期安全事件频发，需持续关注
CVE-2024-0200 是 GitHub 近期一系列安全事件中的最新一起。此前 GitHub 修复了企业服务器命令注入漏洞 CVE-2024-0507，该漏洞允许具有编辑器角色的管理控制台用户提升权限；2023 年 3 月，GitHub.com 私人 SSH 密钥曾短暂通过公共仓库暴露；2022 年 12 月，攻击者攻破开发与发布计划存储库后窃取敏感数据，迫使 GitHub 撤销 Desktop 和 Atom 的代码签名证书。这些事件表明，即使平台方快速响应，用户也需保持警惕并跟进安全公告。
Q&A
CVE-2024-0200 漏洞具体能造成哪些危害？
该漏洞允许威胁攻击者在未打补丁的服务器上远程执行代码，并访问生产容器的环境变量（包括凭据）。
利用 CVE-2024-0200 需要什么前提条件？
攻击者需要使用组织所有者角色（具有组织的管理员访问权限）进行身份验证，才能成功利用该漏洞。
GitHub 是如何发现并修复这个漏洞的？
2023 年 12 月 26 日，GitHub 通过 Bug 赏金计划收到安全报告，当天就组织安全研究人员在 GitHub.com 上修复了漏洞，并开始轮换所有可能暴露的凭证。
用户需要采取哪些措施来应对此次密钥轮换？
用户应尽快安装安全更新，并定期从 API 中提取公钥以确保使用最新数据。使用 GitHub 提交签名密钥、GitHub Actions、GitHub Codespaces 以及 Dependabot 客户加密密钥的用户需要导入新的公钥。
GitHub 如何确认 CVE-2024-0200 漏洞没有被利用过？
GitHub 进行了全面调查，根据漏洞问题的独特性以及对内部遥测和日志记录的分析，公司研究人员有信心地认为该漏洞没有被威胁攻击者发现和利用过。
近期 GitHub 还发生过哪些安全事件？
近期 GitHub 还修复了企业服务器命令注入漏洞（CVE-2024-0507），该漏洞允许攻击者提升权限；2023 年 3 月，GitHub.com 的私人 SSH 密钥意外通过公共仓库短暂暴露，导致密钥轮换；2022 年 12 月，攻击者攻破开发存储库窃取敏感数据，迫使 GitHub 撤销 Desktop 和 Atom 应用程序的代码签名证书。
