Đầu tiên là CVE-2023-7028. Lỗ hổng này đã được đánh giá ở mức độ rủi ro nghiêm trọng với điểm CVSS đạt tối đa là 10/10, có thể tạo điều kiện cho kẻ tấn công chiếm đoạt tài khoản bằng cách gửi email đặt lại (reset) mật khẩu đến một địa chỉ email chưa được xác minh.
Lỗ hổng này bắt nguồn từ một lỗi trong quá trình xác minh email cho phép người dùng đặt lại mật khẩu của họ thông qua địa chỉ email phụ. Nó ảnh hưởng đến tất cả các phiên bản tự quản lý của GitLab Community Edition (CE) và Enterprise Edition (EE) đang sử dụng các phiên bản: 16.1 trước 16.1.6; 16.2 trước 16.2.9; 16.3 trước 16.3.7; 16.4 trước 16.4.5; 16.5 trước 16.5.6; 16.6 trước 16.6.4; 16.7 trước 16.7.2.
cho biết họ đã giải quyết vấn đề này trong các phiên bản GitLab 16.5.6, 16.6.4 và 16.7.2, cũng như triển khai bản vá cho các phiên bản 16.1.6, 16.2.9, 16.3.7 và 16.4.5. Công ty này lưu ý thêm rằng lỗ hổng này xuất hiện trong phiên bản 16.1.0 vào ngày 1/5/2023.
GitLab cho biết: “Trong các phiên bản này, tất cả các cơ chế xác thực đều bị ảnh hưởng. Ngoài ra, người dùng đã bật xác thực hai yếu tố dễ bị đặt lại mật khẩu nhưng không thể chiếm đoạt tài khoản vì yếu tố xác thực thứ hai là bắt buộc để đăng nhập".
GitLab cũng tiến hành cho một lỗ hổng nghiêm trọng khác là CVE-2023-5356, điểm CVSS 9.6/10. Lỗ hổng này cho phép người dùng lạm dụng tích hợp Slack/Mattermost để thực thi các slash command với tư cách một người dùng khác.
Theo khuyến cáo của Gitlab, để giảm thiểu mọi mối đe dọa tiềm ẩn, người dùng cần khẩn trương nâng cấp lên phiên bản mới nhất và bật xác thực hai yếu tố, đặc biệt đối với người dùng đặc quyền (elevated privileges).
Bá Phúc
(thehackernews.com)
09:00 | 05/06/2023
15:00 | 19/01/2024
08:00 | 06/02/2024
17:00 | 17/11/2021
13:00 | 26/02/2024
15:00 | 29/08/2022
13:00 | 12/06/2024
11:00 | 24/10/2024
Từ chủ trương đúng, ngành Xuất bản đã ứng dụng công nghệ triệt để trong mọi khâu, giúp ngành sách có bước chuyển mình trong kỷ nguyên số.
07:00 | 17/10/2024
American Water, công ty cung cấp nước lớn nhất nước Mỹ cho biết đã bị tấn công mạng và phải đóng cửa một số hệ thống.
15:00 | 30/09/2024
Dell đang tiến hành điều tra sau khi một tin tặc tuyên bố đã đánh cắp dữ liệu nhân viên của công ty.
07:00 | 23/09/2024
Ngày 12/9, các cơ quan quản lý của Liên minh châu Âu cho biết, họ đang vào cuộc điều tra mô hình ngôn ngữ Pathways 2 (PaLM2) - một trong những mô hình trí tuệ nhân tạo của Google do lo ngại về việc tuân thủ các quy tắc bảo mật dữ liệu GDPR.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Đầu tháng 10 vừa qua, Synopsys Software Integrity Group đã đánh dấu một bước ngoặt mới trong hành trình phát triển của mình với việc chính thức đổi tên thương hiệu thành Black Duck (Black Duck® Software, Inc.). Black Duck hứa hẹn sẽ mang đến những giải pháp bảo mật ứng dụng toàn diện, mạnh mẽ và đáng tin cậy, giúp các tổ chức và doanh nghiệp an toàn trên hành trình chuyển đổi số.
15:00 | 29/10/2024
