GitLab phát hành bản cập nhật khẩn cấp cho lỗ hổng nghiêm trọng

09:00 | 05/06/2023 | LỖ HỔNG ATTT

Mới đây, GitLab đã phát hành bản cập nhật khẩn cấp, phiên bản 16.0.1 cho GitLab Community Edition (CE) và Enterprise Edition (EE) để giải quyết lỗ hổng nghiêm trọng trong phiên bản 16.0.0 có điểm CVSS 10/10.

GitLab phát hành bản cập nhật khẩn cấp cho lỗ hổng nghiêm trọng

Lỗ hổng định danh CVE-2023-2825 là lỗ hổng truyền tải đường dẫn (path traversal), cho phép người dùng không xác thực đọc các tệp tùy ý trên . Trong các trường hợp cụ thể, khi có tệp đính kèm tồn tại trong một project công khai được lưu trữ trong ít nhất năm nhóm, kẻ tấn công có thể khai thác lỗ hổng để truy cập dữ liệu nhạy cảm của người dùng.

Lỗ hổng được phát hiện và báo cáo thông qua chương trình HackerOne của GitLab bởi một hacker có tên “pwnie”. Nhóm GitLab đã nhanh chóng phản hồi, đưa ra một bản vá với phiên bản cập nhật mới 16.0.1.

Mặc dù chỉ ảnh hưởng tới phiên bản 16.0.0 của CE/EE, lỗ hổng vẫn có tác động nghiêm trọng. Kẻ tấn công khai thác CVE-2023-2825 có khả năng truy cập và lấy các tệp dữ liệu nhạy cảm từ máy chủ. Các dữ liệu có thể bao gồm mã nguồn độc quyền, dữ liệu nhạy cảm của người dùng và các chi tiết cấu hình quan trọng có thể được sử dụng thêm để thỏa hiệp hệ thống quan trọng hơn.

Hơn nữa, lỗ hổng không yêu cầu bất kỳ xác thực nào, làm tăng khả năng khai thác của kẻ tấn công. Do mức độ nghiêm trọng của lỗ hổng, GitLab khuyến cáo người dùng nâng cấp các cài đặt GitLab đang chạy trên phiên bản 16.0.0 lên 16.0.1.

Phong Thu

‹ › ×

Tin liên quan

GitLab phát hành bản vá cho hai lỗ hổng nghiêm trọng

07:00 | 17/01/2024

GitLab đã phát hành các bản cập nhật bảo mật để giải quyết hai lỗ hổng nghiêm trọng. Đáng lưu ý, một trong hai lỗ hổng được vá có thể bị khai thác để chiếm đoạt tài khoản mà không yêu cầu bất kỳ tương tác nào của người dùng.

Nền tảng DevOps GitLab vá lỗ hổng thực thi mã từ xa nghiêm trọng

15:00 | 29/08/2022

Nền tảng DevOps GitLab vừa phát hành các bản vá cho lỗ hổng thực thi mã từ xa nghiêm trọng ảnh hưởng đến GitLab Community Edition (CE) và Enterprise Edition (EE).

Phát hiện lỗ hổng nghiêm trọng trong GitLab khi tạo workspace cho phép ghi đè tệp

08:00 | 06/02/2024

GitLab vừa phát hành các bản vá lỗi để giải quyết một lỗ hổng bảo mật nghiêm trọng trong phiên bản dành cho cộng đồng (CE) và phiên bản dành cho doanh nghiệp (EE). Lỗ hổng có thể bị khai thác để ghi các tệp tùy ý trong khi tạo workspace.

GitLab phát hành bản vá cho lỗ hổng nghiêm trọng

08:00 | 13/06/2022

GitLab vừa vá một lỗ hổng nghiêm trọng định danh CVE-2022-1680. Đáng lưu ý, nếu khai thác thành công lỗ hổng, tin tặc có thể tấn công chiếm quyền tài khoản.

Lỗ hổng thực thi mã từ xa trong GitLab bị tin tặc khai thác

17:00 | 17/11/2021

Mới đây, lỗ hổng thực thi mã từ xa định danh CVE-2021-22205 có mức độ nghiêm trọng được vá trong giao diện web của GitLab đã ghi nhận bị tin tặc khai thác trong thực tế.

Tin cùng chuyên mục

Nguy cơ mất sạch tiền từ phần mềm độc hại NGate trên Android

10:00 | 30/08/2024

Các chuyên gia bảo mật của hãng ESET (Slovakia) vừa phát hiện một phần mềm độc hại mới trên nền tảng Android có khả năng sử dụng đầu đọc NFC để đánh cắp thông tin thanh toán từ thiết bị của nạn nhân và chuyển dữ liệu này đến tay kẻ tấn công.

Cảnh báo phần mềm độc hại BingoMod đánh cắp tiền và xóa sạch dữ liệu

13:00 | 13/08/2024

Các nhà nghiên cứu bảo mật tại Cleafy Labs (Italy) phát hiện ra một phần mềm độc hại Android mang tên BingoMod nguy hiểm, có thể đánh cắp tiền và xóa sạch dữ liệu của người dùng.

Hơn 3.000 tài khoản GitHub bị lợi dụng để phát tán mềm độc hại

16:00 | 06/08/2024

Nhóm tin tặc Stargazer Goblin thực hiện phân phối dưới dạng dịch vụ (DaaS) phần mềm độc hại từ hơn 3.000 tài khoản giả mạo trên GitHub.

Cảnh báo trình duyệt Chromium lén đánh cắp thông tin người dùng

13:00 | 25/07/2024

Các trình duyệt web phổ biến như Google Chrome, Microsoft Edge, Opera và Brave đều dựa trên nền tảng mã nguồn mở Chromium hiện đang bị cáo buộc âm thầm gửi thông tin người dùng cho Google.