GITLAB, biri kullanıcı etkileşimi olmadan hesap kaçırmaya izin veren iki kritik güvenlik açığını ele almak için hem topluluk hem de Enterprise Edition için güvenlik güncellemeleri yayınladı.
Satıcı, DevSecops platformunun (kendi kendine barındırılan kurulumlar için gerekli manuel güncelleme) tüm savunmasız sürümlerinin güncellenmesini şiddetle tavsiye eder ve "belirli bir dağıtım türü (omnibus, kaynak kodu, dümen grafiği, vb.) Bir üründen bahsediliyor, bu her türün etkilendiği anlamına geliyor. ”
Gitlab yamalı en kritik güvenlik sorunu maksimum şiddet puanına (10 üzerinden 10) sahiptir ve CVE-2023-7028 olarak izlenir. Başarılı sömürü herhangi bir etkileşim gerektirmez.
Parola sıfırlama isteklerinin keyfi, doğrulanmamış e -posta adreslerine gönderilmesine izin veren ve hesap devralmasına izin veren bir kimlik doğrulama sorunudur. İki faktörlü kimlik doğrulama (2FA) etkinse, parolayı sıfırlamak mümkündür, ancak başarılı giriş için ikinci kimlik doğrulama faktörü hala gereklidir.
Bir GITLAB hesabının ele geçirilmesi, bir kuruluş üzerinde önemli bir etkiye sahip olabilir, çünkü platform tipik olarak tescilli kod, API anahtarları ve diğer hassas verileri barındırmak için kullanılır.
Başka bir risk, GitLab CI/CD (sürekli entegrasyon/sürekli dağıtım) için kullanıldığında, saldırganların canlı ortamlara kötü amaçlı kod ekleyerek depoları tehlikeye atabilecekleri tedarik zinciri saldırılarının riskleridir.
Sorun, Hackerone Bug Bounty platformu aracılığıyla güvenlik araştırmacısı 'Asterion' tarafından GitLab'a keşfedildi ve bildirildi ve 1 Mayıs 2023'te 16.1.0 sürümü ile tanıtıldı.
Aşağıdaki sürümler etkilenir:
Kusur GitLab versiyonları 16.7.2, 16.5.6 ve 16.6.4'te ele alındı ve düzeltme de 16.1.6, 16.2.9 ve 16.3.7'ye geri döndü.
GitLab, CVE-2023-7028'in aktif sömürüsü tespit etmediğini, ancak savunucular için aşağıdaki uzlaşma belirtilerini paylaştığını söylüyor:
İkinci kritik problem CVE-2023-5356 olarak tanımlanır ve 10 üzerinden 9,6'lık bir şiddet puanı vardır. Bir saldırgan, başka bir kullanıcı olarak eğik komutları yürütmek için Slack/Slack entegrasyonlarını kötüye kullanmak için kullanabilir.
En önemli olarak, eğik çizgi komutları harici uygulamaların çalışma alanına entegre edilmesine izin verir ve Slack'te Mesasge Besteci kutusundaki uygulamaları çağırmak için kısayol görevi görürler.
Gitlab'ın 16.7.2 sürümünde sabit olduğu kusurların geri kalanı şunlardır:
Talimatlar ve resmi güncelleme kaynakları için GITLAB’ın güncelleme sayfasına göz atın. Gitlab Runner için bu web sayfasını ziyaret edin.
Owncloud Dosya Paylaşım Uygulamasında Kritik Hata Yönetici Şifrelerini Ortaya Çıkarıyor
Fortinet, Fortisiem'deki kritik komut enjeksiyon hatası uyarıyor
Kritik Sonicwall Güvenlik Duvarı Yaması Tüm cihazlar için yayınlanmadı
Korunmasız eklenti aracılığıyla devralma riskinde 150k'den fazla WordPress sitesi
Grapheneos: Sık Android Otomatik Yenileme Blok Ürün Yazılımı İstismarları
Kaynak: Bleeping Computer