Connect with us

Entwicklung & Code

GitHub und GitHub Enterprise Server: Codeschmuggel per Push


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Eine Lücke mit eingebautem Ohrwurm „Push it“ von Salt-N-Pepa: Angreifer mit push-Berechtigung auf einem oder mehreren Repositories können einem GitHub Enterprise Server (und GitHub.com) Schadcode aus dem Netz unterjubeln. Dazu genügte ein Standard-git-Client.

Weiterlesen nach der Anzeige

Die IT-Forscher von Wiz haben die Lücke entdeckt und erörtern sie in einem Blog-Beitrag. Durch das Ausnutzen eines Injection-Fehlers in den internen GitHub-Protokollen konnte jeder authentifizierte Nutzer beliebige Befehle auf den Backend-Servern von GitHub ausführen, mit einem einzigen „git push“-Befehl. Wenig überraschend merken die Wiz-Forscher an, dass sie die Schwachstelle mit Zuhilfenahme von KI aufgespürt haben. Auf GitHub.com konnten sie Schadcode aus dem Netz auf geteilten Storage-Nodes ausführen. Auf GitHub Enterprise Server ließ sich der Server vollständig kompromittieren, einschließlich des Zugriffs auf alle gehosteten Repositories und internen Geheimnisse.

GitHub hat einen CVE-Schwachstelleneintrag dazu veröffentlicht. Demnach basiert die Schwachstelle auf unzureichender Filterung spezieller Elemente, die in Nutzeranfragen als Optionen zum push-Befehl übertragen werden. Sie wurden in interne Service-Header übernommen. Da diese Header ein Trennzeichen enthalten können, das auch in Nutzereingaben vorkommen kann, konnten Angreifer zusätzliche Metadaten-Felder mit manipulierten push-Optionen einschleusen (CVE-2026-3854, CVSS4 8.7, Risiko „hoch“). Die Schwachstelle wurde über das Bug-Bounty-Programm gemeldet – ob es eine Prämie gab und in welcher Höhe, schreibt GitHub nicht. Aufgrund einer Schwemme von mit KI-Hilfe generierten Schwachstellenmeldungen gehen zunehmend Projekte dazu über, keine Prämien mehr auszuzahlen.

GitHub.com habe innerhalb von sechs Stunden nach der Fehlermeldung reagiert und die Sicherheitslücken geschlossen, führen die IT-Forscher von Wiz aus. Zudem haben die Programmierer die Patches für alle unterstützten GitHub-Enterprise-Server-Fassungen veröffentlicht. Eine CVE-Schwachstellennummer mit Beschreibung folgte ebenso schnell. Wiz merkt an, dass zu dem Zeitpunkt der Veröffentlichung des Blog-Beitrags im Laufe des Dienstags noch 88 Prozent der GitHub-Enterprise-Server-Instanzen für die Sicherheitslücke anfällig waren.

IT-Verantwortliche sollten ihre GitHub-Enterprise-Server-Instanzen daher auf die fehlerkorrigierten Stände aktualisieren. GitHub hat die Fehler in diversen Versionen des Enterprise-Servers geschlossen: 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4 und 3.20.0 (oder neuer). Die Schwachstellenbeschreibung auf GitHub nennt zudem noch die direkten Vorgängerversionen, Admins sollten jedoch laut GitHub-Blog-Beitrag auf die noch jüngeren Versionen aktualisieren. GitHub weist zudem darauf hin, dass die Sicherheitslücke bislang noch nicht in Angriffen missbraucht wurde.


(dmk)



Source link

Entwicklung & Code

Visual Studio 2026 erhält Cloud-Agenten-Integration


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Microsoft hat seine Entwicklungsumgebung Visual Studio 2026 mit dem April-Update versehen, das die Cloud-Agenten-Integration einführt. Weitere Updates betreffen die C++-Entwicklung, benutzerdefinierte Agenten und die Verwendung von IntelliSense.

Weiterlesen nach der Anzeige

Im neuen Release können Visual-Studio-User neue Remote-Coding-Sessions direkt aus der Entwicklungsumgebung heraus starten. Dazu wählen sie Cloud aus dem Agenten-Picker im Chatfenster und spezifizieren ihre Anforderungen. Daraufhin beginnt der Workflow mit der Rückfrage um Erlaubnis, ein Issue im Repository anlegen zu dürfen, und der Cloud-Agent bereitet einen entsprechenden Pull Request vor. Währenddessen können Nutzerinnen und Nutzer weiter in Visual Studio arbeiten oder die IDE schließen. Sie erhalten eine Benachrichtigung, sobald der Pull Request bereit zur Ansicht ist.

Cloud-Agenten laufen auf Remote-Infrastruktur und sollen eine skalierbare, isolierte Ausführung ermöglichen. Dahinter steht GitHub Copilot, sodass sich die Nutzerinnen und Nutzer in einem GitHub-Repository befinden müssen, in dem Copilot die Befugnis zum Erstellen von Issues besitzt.

Seit dem März-Update lassen sich zudem in Visual Studio benutzerdefinierte Agenten mit Repository-basierten .agent.md-Dateien erstellen. Nun wurde diese Funktion um User-Level-Agenten erweitert, die sich über unterschiedliche Projekte hinweg nutzen lassen. Sie werden standardmäßig in %USERPROFILE%/.github/agents/ gespeichert.

Die C++-Codeeditierungs-Tools für GitHub Copilot sind nun allgemein verfügbar. Das ermöglicht es dem Copiloten, mit Class-Inheritance-Hierarchien umzugehen und beim Refaktorieren oder Modifizieren von Code Function-Call-Ketten zu folgen. Hierzu müssen Entwicklerinnen und Entwickler ein C++-Projekt mit konfiguriertem IntelliSense öffnen und die C++-Tools im Copilot-Chat aktivieren:

Weiterlesen nach der Anzeige


C++-Tools in Visual Studio

C++-Tools in Visual Studio

Aktivierung der C++-Tools in Visual Studio: get_symbol_call_hierarchy und get_symbol_class_hierarchy.

(Bild: Microsoft)

Ein weiteres Update betrifft die allgemeine Verwendung des Codevervollständigungs-Tools IntelliSense. Bisher konnten User sowohl die Vorschläge von IntelliSense als auch von Copilot gleichzeitig sehen, was laut Feedback ablenkend sein konnte. Daher priorisiert der Editor nun die IntelliSense-Vervollständigungsliste und unterdrückt Copilot-Vorschläge. Nach dem Annehmen oder Ablehnen der IntelliSense-Auswahl erscheinen automatisch die Copilot-Vorschläge.

Alle weiteren Informationen zum neuen Visual-Studio-Update bietet Microsofts Entwicklerblog.

Siehe auch:


(mai)



Source link

Weiterlesen

Entwicklung & Code

Ubuntu integriert lokale KI | heise online


Jon Seager, VP of Engineering bei Canonical, hat in seinem Beitrag The future of AI in Ubuntu erläutert, wie Canonical KI in kommende Ubuntu-Versionen integrieren möchte. Dabei sollen lokal installierte Open-Weight-Modelle zum Einsatz kommen, um bestehende Funktionen wie Speech-to-Text für Barrierefreiheit zu verbessern und neue KI-Funktionen wie Unterstützung bei Fehlern und Automatisierungen durch agentische Workflows einzuführen. Auch kontextsensitive Hilfen etwa bei der Fehlersuche oder bei komplexen Aufgaben sind angedacht.

Weiterlesen nach der Anzeige

Schon die aktuelle LTS-Version Ubuntu 26.04 erleichtert die Nutzung von lokaler KI: Entwickler können die KI-Stacks für Nvidia- und AMD-Hardware (CUDA und ROCm) mit einem einfachen apt-Befehl aus den Standard-Paketquellen installieren. Dazu kommen die Inference Snaps, mit denen sich eine Reihe von KI-Modellen einfach lokal installieren lassen, darunter das multimodale KI-Modell Qwen VL, das Reasoning-Modell DeepSeek R1, das offene Google-Modell Gemma 3 sowie die Nvidia-Modelle Nemotron 3 Nano und Nemotron 3 Nano Omni. Das System soll dabei das gewünschte Modell in einer Variante und Quantisierung installieren, die zur eigenen Hardware passt. Dazu arbeitet Canonical mit CPU- und GPU-Herstellern zusammen. Wie alle Snaps laufen die KI-Modelle in einer Sandbox mit beschränktem Zugriff aufs System.

Die Community-Reaktionen auf Seagers Beitrag sind überwiegend positiv. Die Ubuntu-Nutzer loben den maßvollen Einsatz von KI und den Verzicht darauf, KI-Funktionen aufzudrängen. Der Einsatz lokaler Modelle statt der großen KI-Modelle aus der Cloud wird begrüßt – auch wenn auf vielen Notebooks und PCs nur kleine, weniger leistungsfähige Modelle laufen.

In einem späteren Beitrag stellt Seager klar, dass alle integrierten KI-Funktionen in Ubuntu als deinstallierbare Snaps eingerichtet werden sollen – Anwender, die sie nicht nutzen wollen, können sie also einfach loswerden. In Ubuntu 26.10 soll es eine erste Preview der KI-Funktionen als Opt-in geben, Anwender müssen also explizit zustimmen. Später könnte die Frage nach KI-Nutzung in den Installer integriert werden. Man wolle niemanden KI aufzwingen. Seager betonte nochmals, dass die Pläne ausschließlich den Einsatz lokal installierter Sprachmodelle vorsehen.


(odi)



Source link

Weiterlesen

Entwicklung & Code

Sovereign Tech Agency fördert Maintainer für offene Standards


Die Sovereign Tech Agency der Bundesregierung hat ein neues Förderprogramm zur Unterstützung von Maintainern aufgelegt, die im Bereich offener Standards und Interoperabilität tätig sind und sich bei den Normierungsorganisationen IETF, W3C oder ISO einbringen wollen. Zehn Plätze stehen dafür zur Verfügung, mit einer monatlichen Vergütung von 4800 bis 5200 Euro für den Zeitaufwand der Normungsarbeit und Gremientreffen.

Weiterlesen nach der Anzeige

Darüber hinaus umfasst das Programm auch Schulung und Einarbeitung, etwa mit einem Online-Kurs zur Arbeitsweise von Standardisierungsgremien und ersten persönlichen Treffen bei einer der Organisationen. Ebenfalls soll es Mentorenbetreuung durch erfahrene Mitwirkende an der Normenarbeit geben und ein Netzwerk zum Austausch mit Gleichgesinnten. Außerdem soll es Unterstützung für die Anreise bei Präsenztreffen geben und Teilnahmegebühren sollen erstattet werden.

In die Gestaltung der Förderung seien Ergebnisse einer Befragung von Open-Source-Maintainern eingeflossen. Laut der hätten drei Viertel der Befragten angegeben, dass sie sich zwar aktiv auf Standards verlassen, aber sich kaum jemand leisten könne, langfristig an deren Entwicklung teilzunehmen. „Wir sind der Ansicht, dass eine sinnvolle Unterstützung für diejenigen, die offene Standards mitgestalten, längst überfällig ist“, erklärte die Sovereign Tech Agency dazu.

Von den Kandidatinnen und Kandidaten für das Programm wird erwartet, dass sie rund 10 Stunden pro Woche an Standards arbeiten und die Treffen einer der drei Organisationen besuchen. Wer aktiv ein Open-Source-Infrastruktur-Projekt mit Bezug zu den bei IETF, W3C und ISO relevanten Standards betreut oder plant, bei einer der drei Organisationen wesentliche Beiträge zu leisten, ist zur Bewerbung aufgerufen. Vorerfahrungen in den Standardisierungsprozessen setzt die Ausschreibung nicht voraus. Entscheidend seien Implementierungserfahrung und die Relevanz der Arbeit für die betreffenden Standards.

Bewerbungen nimmt die Sovereign Tech Agency bis zum 19. Mai an. Das Förderprogramm ist den Angaben nach zunächst als bis 2027 laufendes Pilotprojekt gedacht. Weitere Details zum Programm und zur Bewerbung finden sich in den FAQs.

Die Sovereign Tech Agency ist eine Tochtergesellschaft der Bundesagentur für Sprunginnovationen und widmet sich der Unterstützung von Open-Source-Technologie. Sie ging 2024 aus dem Sovereign Tech Fund hervor. Zuletzt unterstützte sie mit 614.000 Euro die Verbesserung des dezentralen Kurznachrichtendienstes Mastodon.

Weiterlesen nach der Anzeige


(axk)



Source link

Weiterlesen

Beliebt