GitHub 被曝安全漏洞，可被黑客利用伪装成“微软”分发恶意软件

导读：

在岁月的长河中有些名字如同璀璨的星辰即使岁月流转也依旧熠熠生辉周星驰这位华语影坛的喜剧巨星便是其中之一然而随着时间的推移这位曾经的银幕宠儿逐渐淡出了人们的视线从演员的身份转型为...

在岁月的长河中，有些名字如同璀璨的星辰，即使岁月流转，也依旧熠熠生辉。周星驰，这位华语影坛的喜剧巨星，便是其中之一。然而，随着时间的推移，这位曾经的银幕宠儿逐渐淡出了人们的视线，从演员的身份转型为导演，继续在华语电影界书写着自己的传奇。

IT之家 4 月 23 日消息，代码托管网站 GitHub 被曝高危严重漏洞，存在于 comment 文件上传系统中，黑客利用该漏洞可以分发各种恶意软件。

例如上传到 GitHub 的文件 URL 地址可以表明来自微软，但事实上该项目代码中从未提及相关内容，IT之家附上两个案例如下：

https//github[]com/microsoft/vcpkg/files/14125503/Cheat.Lab.2.7.2.ziphttps//github[]com/microsoft/STL/files/14432565/Cheater.Pro.1.6.0.zip

而且该漏洞并不需要任何复杂的专业技术，只需要上传恶意文件到指定 comment 即可。攻击者可以在任何受信任的存储库中上传恶意软件，然后通过 GitHub 链接进行分发。

GitHub 目前已经删除了部分恶意软件链接，对目前尚未修复该漏洞，对于开发者而言，现阶段没有足够有效的方法阻止这种滥用，唯一的方案就是完全禁用 comment。