Cómo proteger los repositorios de control de versiones
En un ecosistema en el que los datos son un activo valioso y la privacidad es un principio fundamental de la ética empresarial, la filtración de datos y el ataque de ransomware cobran más importancia que nunca.
Un tema que preocupa de manera recurrente a los CISOs es la exposición de repositorios de control de versiones (Git, SVN). A pesar de los esfuerzos por abordar el riesgo que supone la exposición involuntaria de repositorios, sigue siendo un desafío crítico en aplicaciones web. La falta de concienciación sobre su adecuada gestión puede dar lugar a la exposición de información confidencial, por lo que es fundamental tomar medidas para detectar y mitigar esta vulnerabilidad, así como proteger la integridad de los datos y la seguridad de las aplicaciones web.
¿Qué peligros presenta un repositorio GIT o SVN?
Un directorio GIT y SVN son elementos clave en proyectos gestionados con sistemas de control de versiones populares como Git y Subversion.
Un directorio .git contiene información esencial para el control de versiones, ya que almacena datos sobre confirmaciones (commits), direcciones de repositorios remotos y un historial de cambios. El acceso a la historia de confirmaciones facilita la reversión a versiones anteriores del proyecto, aunque si se expone públicamente, puede dar acceso no autorizado al código fuente y otros detalles del proyecto.
Por otro lado, un directorio .svn se caracteriza por estar presente en proyectos controlados por subversión (SVN). Al igual que el directorio «.git,» el directorio «.svn» contiene información administrativa crítica, ya que almacena datos sobre la ubicación del repositorio remoto, la revisión actual de archivos y directorios, propiedades personalizadas y copias de los archivos del proyecto.
¿Están expuestos tus repositorios?
Algunas empresas exponen inadvertidamente sus repositorios de manera pública, no solo en sus propios servidores, si no en servicios de gestión de control de versiones como entre los más populares GitHub, BitBucked, Gitlab.
Esta vulnerabilidad es muy fácil de identificar mediante técnicas automatizadas por los ciberdelincuentes, lo que podría traducirse en los siguientes riesgos e impactos:
- Fuga de código fuente y pérdida de Propiedad Intelectual.
- Filtración de secretos y datos confidenciales.
- Exposición a nuevos vectores de ataque.
- Perdida reputacional.
Configura correctamente el Directory Listing
Una gran cantidad de sitios web corporativos almacenan sus repositorios de control de versiones como .git o .svn en entornos de producción, lo que puede permitir a los atacantes acceder al código fuente del sitio, credenciales, archivos de configuración, propiedad intelectual y otros archivos sensibles. Esta vulnerabilidad generalmente se debe a configuraciones incorrectas del servidor web como es el caso de la configuración insegura Directory Listing.
La exposición del directorio .git o .svn puede manifestar el contenido de los objetos Git, lo que facilita la descarga del código fuente. Los ciberdelincuentes pueden aprovechar esto para realizar revisiones del código en busca tanto de vulnerabilidades y datos confidenciales, como “datos secretos”. Los desarrolladores deben ser conscientes de esta amenaza y buscar directorios como «.git» o «.svn» al explorar sitios web para evitar posibles explotaciones.
Reduce la exposición a tus directorios
Para mantener los activos empresariales libres de ataques y prevenir la exposición de información sensible y código fuente a posibles atacantes, es necesario realizar las siguientes acciones de mitigación de riesgos:
- Eliminar el directorio .git en el entorno de producción.
- Bloquear el acceso directo a las carpetas sensibles, deshabilitando y configurando las reglas de acceso en su servidor web para bloquear cualquier intento de acceso a estas carpetas.
Al implementar estas medidas, reducirás significativamente el riesgo de exposición de carpetas git y fortalecerás la seguridad de tus aplicaciones web.
Nos encontramos en un momento álgido de la digitalización en el que la seguridad de los datos no debe ser negociable. Las empresas tienen que permanecer alerta y estar preparadas para la constante evolución de las amenazas, enfocándose en los riesgos, como en este caso lo es exponer el código fuente de un sitio web.
Desde Factum, tenemos una gran capacidad operativa que nos permite estar al frente de la resolución de los principales conflictos, y nos anticiparnos mediante la simulación de ataques reales en la infraestructura del cliente. Nuestro equipo de seguridad ofensiva es el encargado de detectar cómo un ataquente accede a un sistema, proporcionando al cliente en cuestión las claves o modificaciones que necesita implementar para estar a salvo.
En el archivo descargable puedes ver cómo un atacante podría acceder ilegítimamente a la web de tu compañía, debido a la brecha de seguridad que expone los repositorios de control de versiones (Git, SVN).
