GitHub被曝安全漏洞，可被黑客利用偽裝成“微軟”分發惡意軟件
時間：
小采
新股
4月23日消息，代碼托管網站GitHub被曝高危嚴重漏洞，存在于comment文件上傳系統中，黑客利用該漏洞可以分發各種惡意軟件。
用戶可以將文件上傳到指定GitHubcomment中（即便該條comment并不存在），也會自動生成下載鏈接。此鏈接包括存儲庫的名稱及其所有者，可能會誘使受害者認為該文件是合法的。
例如上傳到GitHub的文件URL地址可以表明來自微軟，但事實上該項目代碼中從未提及相關內容，附上兩個案例如下：
https//github[]com/microsoft/vcpkg/files/14125503/Cheat.Lab.2.7.2.ziphttps//github[]com/microsoft/STL/files/14432565/Cheater.Pro.1.6.0.zip
而且該漏洞并不需要任何復雜的專業技術，只需要上傳惡意文件到指定comment即可。攻擊者可以在任何受信任的存儲庫中上傳惡意軟件，然后通過GitHub鏈接進行分發。
而且這些鏈接屬于GitHub官方URL域名，且后綴是“Microsoft”等官方儲存庫，因此用戶很大幾率認為該URL下載鏈接的內容是正規安全的。
GitHub目前已經刪除了部分惡意軟件鏈接，對目前尚未修復該漏洞，對于開發者而言，現階段沒有足夠有效的方法阻止這種濫用，唯一的方案就是完全禁用comment。