Компания GitLab выпустила новую порцию критических исправлений безопасности для своих продуктов Community Edition (CE) и Enterprise Edition (EE). Компания настоятельно рекомендует всем самоуправляемым установкам GitLab немедленно обновиться до одной из последних версий: 17.4.2, 17.3.5 или 17.2.9.
Эти обновления устраняют несколько критических и серьезных уязвимостей, включая критический недостаток, который может позволить злоумышленникам запускать конвейеры на произвольных ветках. Это последнее обновление безопасности появилось после целого ряда критических уязвимостей, которые GitLab пришлось устранять в последние месяцы.
В прошлом месяце GitLab исправила еще одну критическую уязвимость (CVE-2024-6678) с оценкой CVSS 9.9, которая могла позволить злоумышленникам запускать задания конвейера от имени произвольного пользователя. До этого компания исправила еще три аналогичные уязвимости высокой степени серьезности: CVE-2023-5009, CVE-2024-5655 и CVE-2024-6385, каждая из которых получила оценку CVSS 9,6.
В мае Агентство кибербезопасности и защиты инфраструктуры США (CISA) обозначило критическую уязвимость (CVE-2023-7028), затрагивающую GitLab, как Known Exploited Vulnerability (KEV) в ответ на обнаружение активных попыток эксплуатации.
Среди серьезных проблем, устраненных в последних патчах, - уязвимости, которые могут позволить злоумышленнику выдать себя за произвольного пользователя, использовать подделку запросов на стороне сервера (SSRF) в панели Analytics Dashboard и выполнить HTML-инъекцию на странице OAuth.
Команда безопасности GitLab обнаружила в общей сложности восемь уязвимостей, от критических до низкой степени серьезности. «Мы стремимся к тому, чтобы все аспекты GitLab, открытые для клиентов или содержащие их данные, соответствовали самым высоким стандартам безопасности», - заявили в компании.
Наиболее серьезная уязвимость в этом выпуске, CVE-2024-9164, затрагивает все версии, начиная с 12.5 и до последних выпусков патчей. Этот критический недостаток может позволить злоумышленникам запускать конвейеры в произвольных ветках, что может нарушить целостность проектов и связанных с ними данных.
Другая серьезная проблема, CVE-2024-8970, затрагивает все версии, начиная с 11.6, и при определенных обстоятельствах может позволить злоумышленнику запустить конвейер от имени другого пользователя. Эта уязвимость подчеркивает важность своевременного исправления для поддержания безопасности экземпляров GitLab.
Несмотря на отсутствие свидетельств активного использования этих уязвимостей, пользователям настоятельно рекомендуется обновить свои инстансы до последней версии, чтобы защититься от потенциальных угроз.
В дополнение к исправлениям безопасности выпуски патчей также включают несколько исправлений, направленных на повышение производительности и надежности. Среди них - решение проблем с фильтрацией меток, исправление ошибки 401 для неаутентифицированных запросов в функциональности go-get, а также решение проблем с раскрытием шаблонов проектов.
GitLab продолжает подчеркивать важность поддержания хорошей гигиены безопасности. Компания рекомендует всем клиентам обновиться до последнего патча для своей поддерживаемой версии в рамках передовой практики защиты своих экземпляров GitLab.
Особенно в контексте недавней череды критических уязвимостей, своевременное обновление и бдительное соблюдение правил безопасности остаются крайне важными для организаций, использующих инструменты для совместной работы и разработки GitLab.
На этой неделе пользователи были встревожены, получив неожиданное электронное письмо от Google Pay, в котором говорилось, что они успешно «добавили новую карту» в свой аккаунт Google.
21-летний мужчина из Индианы по имени Эван Фредерик Лайт признал себя виновным в краже криптовалюты на сумму 37 704 560 долларов у 571 жертвы в ходе кибератаки 2022 года.
Слишком многие компании считают, что адекватная безопасность - это слишком дорого. Вот несколько способов сократить расходы.