GitLab đã phát hành các bản cập nhật bảo mật để giải quyết một lỗ hổng nghiêm trọng cho phép kẻ tấn công chạy các pipeline như những người dùng khác thông qua các chính sách quét bảo mật đã được lập lịch.
GitLab là một nền tảng theo dõi công việc và quản lý dự án phần mềm nguồn mở dựa trên web phổ biến, cung cấp phiên bản thương mại và miễn phí.
Lỗ hổng, được phát hiện bởi nhà nghiên cứu bảo mật Johan Carlsson, có định danh CVE-2023-4998 (điểm CVSS v3.1: 9,6) và ảnh hưởng đến GitLab Community Edition (CE) và Enterprise Edition (EE) phiên bản 13.12 đến 16.2.7 và các phiên bản 16.3 đến 16.3.4.
GitLab cho biết đây là một sự cố vượt qua (bypasss) bản vá cho CVE-2023-3932, lỗ hổng có độ nghiêm trọng mức trung bình, đã được khắc phục vào tháng 8.
Carlsson đã phát hiện ra cách vượt qua các biện pháp bảo vệ đã triển khai và chứng minh tác động bổ sung giúp nâng độ nghiêm trọng của lỗ hổng lên mức nghiêm trọng.
Việc mạo danh người dùng trong khi họ không biết hoặc cho phép thực hiện các tác vụ (task) pipeline (một loạt tác vụ tự động) có thể cho phép kẻ tấn công truy cập thông tin nhạy cảm hoặc lạm dụng quyền của người dùng bị mạo danh để thực thi mã, sửa đổi dữ liệu hoặc kích hoạt các sự kiện (event) cụ thể trong hệ thống GitLab. Điều này có thể dẫn đến xâm phạm quyền sở hữu trí tuệ, gây rò rỉ dữ liệu, tấn công chuỗi cung ứng và các tình huống rủi ro khác.
Cảnh báo của GitLab nhấn mạnh mức độ nghiêm trọng của lỗ hổng, kêu gọi người dùng nhanh chóng áp dụng các bản cập nhật bảo mật có sẵn.
"Chúng tôi đặc biệt khuyến nghị tất cả người dùng đang sử dụng phiên bản bị ảnh hưởng nên nâng cấp lên phiên bản mới nhất càng sớm càng tốt." - GitLab.
CVE-2023-4998 đã được giải quyết trong các phiên bản GitLab Community Edition và Enterprise Edition 16.3.4 và 16.2.7.
Đối với người dùng phiên bản trước 16.2 chưa nhận được bản vá cho lỗ hổng, biện pháp giảm thiểu được đề xuất là TRÁNH bật đồng thời "Direct transfers" và "Security policies".
Người dùng có thể cập nhật GitLab từ đây hoặc tải các packages GitLab Runner từ trang web chính thức này.
Nguồn: bleepingcomputer.com.
Tín nhiệm mạng | Bộ phận nghiên cứu AI của Microsoft đã vô tình làm rò rỉ hàng chục terabyte dữ liệu nhạy cảm từ tháng 7 năm 2020 trong khi đang đóng góp các mô hình học tập AI nguồn mở cho kho lưu trữ GitHub công khai
Tín nhiệm mạng | Nhóm tấn công APT36, hay còn gọi là 'Transparent Tribe', được phát hiện đã sử dụng ít nhất ba ứng dụng Android bắt chước YouTube để lây nhiễm trojan truy cập từ xa (RAT) vào các thiết bị.
Tín nhiệm mạng | Ủy ban bảo vệ dữ liệu Ireland đã phạt TikTok 345 triệu euro vì vi phạm Quy định bảo vệ dữ liệu chung của Liên minh châu Âu liên quan đến việc xử lý dữ liệu trẻ em.
Tín nhiệm mạng | Mozilla đã phát hành các bản cập nhật bảo mật khẩn cấp để khắc phục lỗ hổng zero-day nghiêm trọng đã bị khai thác trong thực tế, ảnh hưởng đến trình duyệt web Firefox và ứng dụng email Thunderbird
Tín nhiệm mạng | Microsoft đã phát hành bản cập nhật bảo mật hàng tháng Patch Tuesday của tháng này để giải quyết 59 lỗ hổng, trong đó có hai lỗ hổng zero-day đã bị khai thác trong thực tế.
Tín nhiệm mạng | Một lỗ hổng mới được tiết lộ trong GitHub có thể khiến hàng nghìn kho lưu trữ có nguy cơ bị tấn công repojacking.
Chúng tôi sẽ sớm liên hệ với bạn để xác thực các thông tin & hoàn tất quá trình kiểm duyệt để cấp chứng nhận.
Cảm ơn bạn đã thực hiện đánh giá.
