Được gán mã định danh CVE-2024-6385 (điểm CVSS 9,6), lỗ hổng cho phép kẻ tấn công thực thi các tác vụ Pipeline với tư cách là người dùng tùy ý, trong một số trường hợp nhất định và ảnh hưởng đến GitLab CE/EE phiên bản 15.8 đến 16.11.5, 17.0.0 đến 17.0.3 và 17.1.0 đến 17.1.1.
Lỗ hổng CVE-2024-6385 được báo cáo thông qua chương trình Bug bounty của GitLab trên HackerOne bởi một người dùng có tên là “yvvdwf”. Hiện tại, công ty cho biết lỗ hổng này đã được giải quyết trong bản phát hành GitLab CE/EE phiên bản 17.1.2, 17.0.4 và 16.11.6.
Theo ông David Lindner, Giám đốc an ninh thông tin tới từ hãng bảo mật Contrast Security (trụ sở chính tại Mỹ) đã cảnh báo rằng, việc khai thác thành công lỗ hổng CVE-2024-6385 có thể cho phép kẻ tấn công thực thi mã độc, truy cập dữ liệu nhạy cảm và xâm phạm tính toàn vẹn của phần mềm.
Bản vá cập nhật xử lý lỗ hổng CVE-2024-6385 được phát hành khoảng 2 tuần sau khi nền tảng DevOps giải quyết một lỗ hổng khác (CVE-2024-5655) cho phép kẻ tấn công chạy các tác vụ Pipeline.
Đáng chú ý, trong bản cập nhật GitLab mới nhất cũng giải quyết một lỗ hổng có mức độ nghiêm trọng (CVE-2024-5257) có thể cho phép các nhà phát triển có quyền admin_compliance_framework sửa đổi URL group cho namespace. Bốn vấn đề còn lại được giải quyết trong bản cập nhật mới là các lỗ hổng có mức độ nghiêm trọng thấp.
Ngoài các bản vá lỗ hổng bảo mật, bản cập nhật còn bao gồm nhiều bản sửa lỗi và cải tiến trên nhiều thành phần GitLab khác nhau, chẳng hạn như Git, MailRoom, CI/CD Pipeline và tích hợp Redis.
Nhà nghiên cứu Ray Kelly của hãng bảo mật Synopsys Software Integrity Group (Canada), cho biết: “Trong thế giới DevSecOps phát triển nhanh như hiện nay, bất kỳ đề cập nào về lỗ hổng trong chức năng Pipeline chắc chắn sẽ ảnh hưởng rất lớn. Khi Pipeline bị xâm phạm, phần mềm có thể bị thay đổi bằng mã độc, backdoor hoặc được sử dụng để đánh cắp thông tin riêng tư từ các tổ chức. Điều này khó phát hiện vì quét bảo mật thường được thực hiện sớm hơn trong quy trình SDLC. Với các vụ vi phạm chuỗi cung ứng nghiêm trọng gần đây, rõ ràng là các tổ chức cần vá lỗ hổng ngay lập tức để ngăn chặn các tác nhân đe dọa xâm phạm phần mềm của họ. Ngoài ra, việc đưa tính năng quét bảo mật vào quy trình có thể giúp phát hiện các sự cố trước khi chúng được triển khai”.
GitLab.com và GitLab Dedicated hiện đang thực thi các phiên bản đã được vá. Công ty này nhấn mạnh tầm quan trọng của việc duy trì hệ sinh thái bảo mật và khuyến nghị tất cả khách hàng nên cập nhật phiên bản mới nhất để phòng tránh trước các mối nguy cơ rủi ro tiềm ẩn.
Hữu Hưng (Tổng hợp)
16:00 | 30/05/2024
10:00 | 18/10/2024
08:00 | 26/09/2024
13:00 | 12/06/2024
14:00 | 05/08/2024
09:00 | 21/05/2024
14:00 | 30/07/2024
07:00 | 23/10/2024
Công ty môi giới dữ liệu National Public Data (Mỹ) từng thông báo lộ, lọt 300 triệu số an sinh xã hội và các thông tin nhận dạng cá nhân khác, đã nộp đơn xin bảo hộ phá sản do làn sóng kiện tụng.
09:00 | 08/10/2024
Sau khi bị tin tặc làm rò rỉ trực tuyến hơn 1 terabyte dữ liệu, Walt Disney có kế hoạch chuyển đổi ngừng sử dụng Slack - thuộc sở hữu của Salesforce, làm ứng dụng nhắn tin và làm việc nhóm tại nơi làm việc của toàn công ty.
13:00 | 01/08/2024
Một tính năng mới của Google Chrome mới được phát hành, về việc cảnh báo khi tải xuống các tệp được bảo vệ bằng mật khẩu có khả năng độc hại và cung cấp hệ thống cảnh báo cải tiến để tải xuống các tệp an toàn hơn.
14:00 | 31/07/2024
Các chuyên gia vừa phát hiện, một lỗ hổng zero-day có tên EvilVideo trên Telegram cho phép kẻ tấn công gửi tệp APK độc hại dưới dạng video tới người dùng Android.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Từ chủ trương đúng, ngành Xuất bản đã ứng dụng công nghệ triệt để trong mọi khâu, giúp ngành sách có bước chuyển mình trong kỷ nguyên số.
11:00 | 24/10/2024
