Хакеры активно эксплуатируют 10-балльную уязвимость в GitLab

Хакеры активно эксплуатируют 10-балльную уязвимость в GitLab

Хакеры активно эксплуатируют 10-балльную уязвимость в GitLab

Эксперты Rapid7 призывают пользователей как можно скорее обновить GitLab CE и EE: выявленная в этом софте критическая RCE-уязвимость с лета активно используется в атаках. Патч для нее был выпущен полгода назад, однако на половине подключенных к интернету систем управления Git-репозиториями его так и не установили.

Проблема CVE-2021-22205 веб-интерфейса GitLab возникла из-за неправильной валидации источника файлов изображений, передаваемых парсеру (встроенному ExifTool). Уязвимости подвержены все версии GitLab, начиная с 11.9; соответствующий патч был включен в обновления 13.8.8, 13.9.6 и 13.10.3, вышедшие в апреле.

Вначале баг, грозящий удаленным исполнением вредоносных команд на сервере, получил оценку 9,9 балла по шкале CVSS. Впоследствии выяснилось, что аутентификация для его использования необязательна, и степень опасности была повышена до 10 баллов.

По данным Rapid7, в паблик уже выложено множество рабочих эксплойтов для новой RCE, и злоумышленники активно пытаются применять их с июня или июля. Авторам одной из таких атак удалось через загрузку вредоносного файла зарегистрировать на сервере GitLab CE два аккаунта пользователя с правами админа.

Поиск доступных из интернета экземпляров GitLab показал, что таких установок в настоящее время около 60 тысяч. Из них полностью пропатчен лишь 21%, а половина уязвима к эксплойту CVE-2021-22205. Оценить состояние остальных установок в Rapid7 не смогли.

Специалисты предупреждают: поскольку эксплойт не требует аутентификации, число атак на опасную дыру будет только расти. и Пользователям следует без промедления обновить GitLab, лучше до последней версии (только что вышли сборки 14.4.1, 14.3.4 и 14.2.6).  В идеале этот сервис должен быть отключен от интернета; когда такой доступ нужен, рекомендуется использовать VPN.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сюй Чжицзюн поставил цель разработать 100 тысяч приложений для HarmonyOS

Председатель правления Huawei Сюй Чжицзюн на конференции компании, которая прошла в минувшую субботу, заявил, что целью на ближайший год является разработка 100 тысяч приложений для ОС Harmony.

Как отметил Сюй Чжицзюн, 100 тысяч приложений позволят создать зрелую экосистему для потребителей, которая включала бы не только то ПО, которое смогло бы удовлетворять базовые цифровые нужды, но и содержала бы персонализированные и эксклюзивные приложения.

Топ-менеджер призвал достичь данного уровня за ближайшие 6-12 месяцев.

В Reuters связывают ускорение темпов разработки ПО для Harmony с результатами президентских выборов в США. Вновь избранный президент Дональд Трамп настроен на обострение отношений с Китаем, о чем свидетельствует опыт его прошлого президентского срока.

Сам выпуск Harmony в 2019 году был вызван тем, что против Huawei тогдашние американские власти ввели жесткие санкции, которые в том числе привели к тому, что Huawei была отрезана от экосистемы Google.

Сюй Чжицзюн призвал государственные учреждения всех уровней, учреждения общественного сектора (образование, здравоохранение, социальной сферы) шире применять устройства на базе Harmony в повседневной работе.

Он признал, что в системе есть недоработки, но чем больше будет пользовательская база, тем быстрее эти недостатки будут устранены.

В настоящее время для данной операционной системы существует около 15 тысяч приложений. Разработка идет довольно быстрыми темпами: по данным издания Computer Base, изначально предполагалось к концу 2024 года довести количество приложений до 10 тысяч.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru