ทาง Gitlab ได้ออก Patch Update และแนะนำให้อัพเดทให้เป็นเวอร์ชันล่าสุดทันที (ต้องอัพเดทด้วยตนเอง)
รายละเอียดช่องโหว่
ปัญหาด้านความปลอดภัยที่สำคัญที่สุดที่ Gitlab ประกาศออกมา มีคะแนนความรุนแรงสูงสุด 10 คะแนน ติดตาม CVE-2023-7028 การแสวงหาผลประโยชน์ที่ประสบความสำเร็จไม่จำเป็นต้องมีการโต้ตอบใด ๆ
มันเป็นปัญหาการยืนยันความถูกต้องที่ใบอนุญาตให้ส่งคำขอรีเซ็ตรหัสผ่านโดยไม่ต้องตรวจสอบสิทธิและไม่ยืนยันอีเมลถ้ามีการเปิดใช้งาน 2FA ก็สามารถรีเซตพาสเวิรด์ได้ แต่ 2FA ยังคงจำเป็นสำหรับการเข้าสู่ระบบที่สมบูรณ์
การ Hack บัญชี Gitlab อาจจะส่งผลกระทบอย่างมีนัยสำคัญต่อองค์กร เนื่องจากแพลตฟอร์มนี้ใช้สำหรับโฮสต์รหัสที่เป็นกรรมสิทธิ์, API, หรือข้อมูลที่ละเอียดอ่อน ความเสี่ยงอีกอย่างคือการโจมตี Supply chain ซึ่งผู้โจมตีสามารถบุกรุกพื้นที่เก็บข้อมูลได้โดยการแทรกโค้ดที่เป็นอันตรายที่ถูกใช้อยู่ใน Gitlab สำหรับ CI/CD (Continuous Integration/Continuous Deployment)
ช่องโหว่ดังกล่าวเพิ่งจะถูกค้นพบและรายงานให้ GitLab โดย Asterion นักวิจัยด้านความปลอดภัยผ่าน HackerOne ได้ถูกเปิดเผยในวันที่ 1 พฤษภาคม 2023
เวอร์ชันที่ได้รับผลกระทบ
- 16.1 Update to 16.1.5
- 16.2 Update to 16.2.8
- 16.3 Update to 16.3.6
- 16.4 Update to 16.4.4
- 16.5 Update to 16.5.6
- 16.6 Update to 16.6.4
- 16.7 Update to 16.7.2
ข้อบกพร่องดังกล่าวได้รับการแก้ไขแล้วใน GitLab เวอร์ชั่น 16.7.2, 16.5.6, และ 16.6.4, and the fix has also been backported to 16.1.6, 16.2.9, and 16.3.7. และการแก้ไขยังได้รับการ backport ไปที่ 16.1.6, 16.2.9, และ 16.3.7.
ช่องโหว่อย่างที่สองถูกติดตามด้วย CVE-2023-5356 และมีคะแนนความรุนแรงอยู่ที่ 9.6 คะแนน ผู้โจมตีสามารถใช้ประโยชน์จากการรวม Slack/Mattermost ในทางที่ผิดเพื่อดำเนินการคำสั่งสแลชในฐานะผู้ใช้รายอื่นได้
ใน Mattermost คำสั่งสแลชอนุญาตให้รวมแอปพลิเคชันภายนอกลงใน workspace และใน Slack จะทำหน้าที่เป็นทางลัดสำหรับการเรียกใช้แอปในกล่องข้อความ
ปัญหาต่าง ๆ ที่ GitLab ได้ทำการแก้ไขในเวอร์ชัน 16.7.2 คือ
- CVE-2023-4812: ปัญหาที่มีความรุนแรงมากที่สุดใน Gitlab 15.3 หรือใหม่กว่า ทำให้สามารถข้ามการอนุมัติของเจ้าของโค้ดได้ โดยทำการเปลี่ยนแปลงคำขอ merge request ก่อนหน้านี้
- CVE-2023-6955: การควบคุมการเข้าถึงที่ไม่เหมาะสมสำหรับ Workspaces ที่ปรากฏใน GitLab ก่อนหน้า 16.7.2 คือยอมให้ผู้โจมตีสร้าง workspace ในหนึ่งกลุ่มที่เชื่อมโยงกับตัวแทนอีกกลุ่มหนึ่ง
- CVE-2023-2030: ข้อบกพร่องในการตรวจความถูกต้องของลายเซ็นที่ส่งผลกระทบต่อ GitLab CE/EE เวอร์ชัน 12.2 ขึ้นไป เกี่ยวข้องกับความเป็นไปได้ในการแก้ไขข้อมูลของการลงนามเนื่องจากการตรวจความถูกต้องของลายเซ็นไม่ถูกต้อง
Ref : bleepingcomputer
ไม่มีความคิดเห็น:
แสดงความคิดเห็น