Um pesquisador descobriu que é possível reescrever commits verificados no GitHub com novos hashes sem quebrar as assinaturas. Isso significa que alguém sem a chave de assinatura pode criar um segundo commit com os mesmos arquivos, autor e data, e uma assinatura válida, que ainda será marcado como "Verificado" pelo GitHub.
A vulnerabilidade permite que um atacante crie um commit com a mesma aparência que um commit verificado, mas com um hash diferente. Isso pode ser feito sem que o atacante tenha acesso à chave de assinatura.
Detalhes Técnicos
Um commit verificado no GitHub não é único e pode ser reescrito com um novo hash.
Isso é possível porque o hash do commit não é o identificador único que se assume ser.
Um atacante pode criar um segundo commit com os mesmos arquivos, autor e data, e uma assinatura válida.
O GitHub ainda marca o commit como "Verificado" mesmo que o hash seja diferente.
Recomendações
Verificar a autenticidade dos commits verificados no GitHub.
Utilizar métodos adicionais de verificação para garantir a integridade dos commits.
Atualizar as políticas de segurança para lidar com essa vulnerabilidade.
