Ανακαλύφθηκε κρίσιμη ευπάθεια GitLab CVE-2023-7028

Μία σοβαρή ευπάθεια στο GitLab, καταγεγραμμένη ως CVE-2023-7028, έχει ενταχθεί στην Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ.

Αυτή η κρίσιμη ευπάθεια, με την εκπληκτική βαθμολογία CVSS 10,0, δίνει τη δυνατότητα παράτυπης ανάληψης λογαριασμού μέσω της αποστολής email για επαναφορά κωδικού σε μη επαληθευμένες διευθύνσεις. Αφορά όλους τους μηχανισμούς ταυτοποίησης στις εκδόσεις του GitLab από την 16.1.0 έως την 16.5.5. Αν και οι χρήστες με διπλό σύστημα ελέγχου ταυτότητας δεν είναι ευάλωτοι σε καταλήψεις λογαριασμών, η χρήση του δεύτερου παράγοντα παραμένει απαραίτητη για πρόσβαση. Η εκμετάλλευση αυτής της ευπάθειας μπορεί να οδηγήσει σε σοβαρές παραβιάσεις, όπως κλοπή δεδομένων, παραβίαση διαπιστευτηρίων και πηγαίου κώδικα, δημιουργώντας τον κίνδυνο επιθέσεων κατά της αλυσίδας εφοδιασμού.

Η Mitiga, ειδικοί στην ασφάλεια cloud, επισημαίνει τον κίνδυνο που αντιπροσωπεύει η ενσωμάτωση κακόβουλου κώδικα στις διαμορφώσεις των αγωγών CI/CD ή στον κώδικα των αποθετηρίων, με στόχο την κλοπή ευαίσθητων δεδομένων ή την υπονόμευση της ακεραιότητας του συστήματος. Το GitLab ανταποκρίθηκε σε αυτή την απειλή με την κυκλοφορία ενημερωμένων εκδόσεων του κώδικα (16.5.6, 16.6.4 και 16.7.2), παρέχοντας επιδιορθώσεις που επιστρέφουν και σε προηγούμενες εκδόσεις. Οι ομοσπονδιακές υπηρεσίες οφείλουν να ενσωματώσουν αυτές τις ενημερώσεις μέχρι τις 22 Μαΐου 2024, για να διασφαλίσουν την προστασία των δικτύων τους.

Παρά το γεγονός ότι η ευπάθεια εκμεταλλεύεται ενεργά, η CISA δεν έχει αποκαλύψει περαιτέρω λεπτομέρειες σχετικά με πραγματικές επιθέσεις που εκμεταλλεύονται αυτό το κενό ασφαλείας.