Уязвимость 0-click в GitLab грозит захватом аккаунта

Уязвимость 0-click в GitLab грозит захватом аккаунта

Уязвимость 0-click в GitLab грозит захватом аккаунта

Вышедшие на прошлой неделе обновления GitLab 16.7.2, 16.6.4 и 16.5.6 устраняют пять уязвимостей, в том числе две критические. Одна из них, оцененная в 10 баллов CVSS, позволяет изменить пароль к аккаунту, не требуя никаких действий от его владельца.

Данная уязвимость (CVE-2023-7028) была привнесена в минувшем мае с выпуском сборки 16.1.0, предоставившей возможность использования вторичного почтового адреса для сброса пароля. Как оказалось, верификация имейл была реализована некорректно, что облегчило подмену.

Проблема перекочевала во все последующие выпуски GitLab CE и EE и грозит захватом аккаунта тем, кто не использует двухфакторную аутентификацию (2FA). Патч включен в состав обновлений 16.7.2, 16.6.4, 16.5.6, а также ввиду серьезности угрозы бэкпортирован в виде сборок 16.1.6, 16.2.9, 16.3.7 и 16.4.5.

Данных об использовании CVE-2023-7028 в атаках, пока нет, хотя PoC-код уже опубликован. Пользователям рекомендуется как можно скорее обновить свои экземпляры GitLab и включить 2FA хотя бы для админ-аккаунтов, а лучше для всех. Версия, используемая GitLab.com, уже пропатчена.

Выпуски 16.7.2, 16.6.4 и 16.5.6 также содержат заплатки для следующих уязвимостей:

  • CVE-2023-5356 (9,6 балла CVSS) — некорректная проверка авторизации, позволяющая выполнять слеш-команды от имени другого пользователя из рабочих сред Slack и Mattermost;
  • CVE-2023-4812 (7,6 балла) — возможность обхода правил владельцев кода (CODEOWNERS) путем изменения ранее одобренного запроса о слиянии;
  • CVE-2023-6955 (6,6 балла) — возможность создания рабочего пространства, ассоциированного с агентом другой группы;
  • CVE-2023-2030 (3,5 балла) — возможность подмены метаданных подписанных коммитов.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вышла новая версия Security Vision с упором на удобство и аналитику

Security Vision представила новую версию своей платформы с рядом заметных обновлений. Изменения затронули как внешний вид, так и функциональные возможности, чтобы упростить работу с системой и расширить варианты её настройки под разные задачи.

Что появилось нового:

Интерфейс стал удобнее. Обновили настройки популярных виджетов: линейные графики, столбчатые и круговые диаграммы, радары, спидометры и индикаторы теперь легче адаптировать под нужды пользователя.

Анализ сетевого трафика. Добавили коннектор NetFlow — он позволяет собирать и анализировать данные по трафику через одноимённый протокол. Это особенно полезно для мониторинга сетевых событий.

Гибкие условия для рабочих процессов. Теперь можно задавать дополнительные системные атрибуты. Это помогает точнее фильтровать объекты и управлять транзакциями.

Мастер-страница для карточек объектов. В каждой карточке теперь есть страница с ключевой информацией, которая всегда под рукой — вне зависимости от того, какую вкладку вы открыли.

Новый блок «Таблица». Позволяет размещать в карточке объекта разные элементы: от виджетов и действий до HTML и параметризованного текста. Всё это можно удобно компоновать.

Удобства при работе с иерархиями. Стало проще настраивать действия в общем виде иерархии объектов — запуск нужных операций теперь быстрее и логичнее.

Больше гибкости при детализации. Можно указать, какую именно карточку или представление открывать при клике на графе.

Работа с выпадающими списками. Добавили настройку фиксированной ширины — длинные названия теперь не обрезаются и читаются без труда.

Фильтры стали «переезжать». Фильтры можно копировать и переносить между сущностями — это сэкономит время при настройке похожих объектов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru