cho biết: có định danh CVE-2024-9164, điểm CVSS là 9,6 được phát hiện trong GitLab EE ảnh hưởng đến tất cả các phiên bản từ 12.5 đến trước 17.2.9, từ 17.3 đến trước 17.3.5 và từ 17.4 đến trước 17.4.2.
Trong 07 lỗ hổng còn lại, 04 lỗ hổng được đánh giá ở mức cao, 02 lỗ hổng được đánh giá mức trung bình và một lỗ hổng được đánh giá mức thấp về độ nghiêm trọng. Các lỗ hổng mức cao gồm có:
- CVE-2024-8970 (điểm CVSS: 8,2), lỗ hổng cho phép kẻ tấn công kích hoạt pipeline với tư cách là người dùng khác trong một số trường hợp nhất định.
- CVE-2024-8977 (Điểm CVSS: 8,2), lỗ hổng cho phép tấn công SSRF trong các phiên bản GitLab EE với Bảng điều khiển phân tích sản phẩm (Product Analytics Dashboard) được cấu hình và bật.
- CVE-2024-9631 (Điểm CVSS: 7,5), lỗ hổng gây ra tình trạng chậm khi xem sự khác biệt giữa các yêu cầu hợp nhất có xung đột.
- CVE-2024-6530 (điểm CVSS: 7,3), lỗ hổng cho phép thực hiện tấn công HTML injection vào trang OAuth khi cấp quyền cho một ứng dụng mới.
Tháng 9, GitLab đã giải quyết một lỗ hổng nghiêm trọng khác (có định danh là CVE-2024-6678, điểm CVSS: 9,9) có thể cho phép kẻ tấn công thực thi các tác vụ pipeline với tư cách là người dùng tùy ý.
Trước đó, công ty này cũng đã vá 03 lỗi tương tự khác là CVE-2023-5009, CVE-2024-5655 và CVE-2024-6385 (cả ba đều có điểm CVSS: 9,6).
Mặc dù chưa có bằng chứng nào cho thấy lỗ hổng đang bị khai thác, người dùng được khuyến nghị cập nhật phiên bản mới nhất để được bảo vệ khỏi các mối đe dọa tiềm ẩn.
Hà Phương
08:00 | 22/07/2024
08:00 | 26/09/2024
12:00 | 06/05/2024
10:00 | 01/10/2024
MoneyGram, công ty cung cấp dịch vụ chuyển tiền lớn thứ hai thế giới đã xác nhận bị tấn công mạng sau nhiều ngày người dùng gặp sự cố và phàn nàn về dịch vụ. Sự cố bắt đầu từ ngày 20/9 khiến người dùng không thể nhận tiền hay xử lý giao dịch, website cũng không thể truy cập.
07:00 | 16/09/2024
Trước những cáo buộc liên quan đến việc hỗ trợ tội phạm tình dục bằng công nghệ deepfake, ứng dụng nhắn tin Telegram đang bị nhà chức trách Hàn Quốc tiến hành điều tra sơ bộ để làm rõ trách nhiệm.
14:00 | 10/07/2024
Juniper Networks đã phát hành bản cập nhật bảo mật mới để giải quyết một lỗ hổng bảo mật nghiêm trọng có thể dẫn đến việc bỏ qua xác thực trong một số bộ định tuyến của hãng.
09:00 | 20/06/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã bổ sung một lỗ hổng bảo mật ảnh hưởng đến Máy chủ WebLogic của Oracle vào danh mục Các lỗ hổng bị khai thác đã biết (KEV).
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Trong tháng 9/2024, Trung tâm Giám sát an toàn không gian mạng quốc gia (Cục An toàn thông tin, Bộ TT&TT) đã ghi nhận 125.338 địa chỉ website giả mạo các cơ quan, tổ chức tăng hơn 100 địa chỉ so với tháng 8 trước đó.
14:00 | 24/10/2024
