Η CISA πρόσθεσε ένα κρίσιμο defect στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV) που επηρεάζει το GitLab.
Η ευπάθεια καταγράφεται ως CVE-2023-7028 με βαθμολογία CVSS 10.0 και μπορεί να επιτρέψει την παραβίαση λογαριασμών μέσω της αποστολής email για επαναφορά κωδικού σε μη επιβεβαιωμένες email διευθύνσεις.
See also: GitLab: 5,300 servers exposed to account disclosure attacks
Το GitLab, αποκάλυψε λεπτομέρειες τον Ιανουάριο, και ανέφερε ότι η συγκεκριμένη αδυναμία εντοπίστηκε ως αποτέλεσμα μιας αλλαγής στον κώδικα, που πραγματοποιήθηκε στην version 16.1.0 στις 1 Μαΐου 2023.
«Σε αυτές τις εκδόσεις, επηρεάζονται συστηματικά όλοι οι μηχανισμοί ελέγχου ταυτότητας», εξήγησε η εταιρεία τότε. “Επίσης, χρήστες με ενεργοποιημένη τη λειτουργία ελέγχου ταυτότητας δύο παραγόντων βρίσκονται σε ευάλωτη θέση όσον αφορά την επαναφορά του κωδικού πρόσβασης, χωρίς ωστόσο να κινδυνεύει η πλήρης Accessed at στον λογαριασμό τους, δεδομένου ότι η σύνδεση απαιτεί τη χρήση 2FA.”
Η επιτυχής εκμετάλλευση του ζητήματος μπορεί να έχει σοβαρές συνέπειες, καθώς όχι μόνο δίνει τη δυνατότητα σε έναν χάκερ να αποκτήσει πρόσβαση και να ελέγξει έναν λογαριασμό του GitLab, αλλά επιτρέπει και την κλοπή ευαίσθητων πληροφοριών και διαπιστευτηρίων, καθώς και τη δυνατότητα να δηλητηριάσει αποθετήρια πηγαίου κώδικα με κακόβουλο λογισμικό, κάτι που μπορεί να οδηγήσει σε επιθέσεις κατά της αλυσίδας εφοδιασμού.
Για παράδειγμα, εάν ένας χάκερ καταφέρει να αποκτήσει πρόσβαση στις ρυθμίσεις του αγωγού CI/CD, θα ήταν δυνατόν να εντάξει κακόβουλο λογισμικό που στοχεύει να υποκλέψει ευαίσθητα δεδομένα, όπως Προσωπικά Αναγνωριστικά Δεδομένα (PII) ή ταυτοποιητικά Data πρόσβασης, μεταφέροντάς τα σε έναν εξωτερικό διακομιστή υπό τον έλεγχο του επιτιθέμενου, όπως δήλωσε η εταιρεία ασφάλειας cloud, Mitiga.
Επίσης, η παραβίαση των προδιαγραφών ασφαλείας στην αποθήκευση κώδικα μπορεί να περιλαμβάνει την εισαγωγή malware, που απειλεί την ακεραιότητα του συστήματος και ενδεχομένως εγκαθιστά παραθυράκια για μη εξουσιοδοτημένη πρόσβαση. Ο κακόβουλος κώδικας ή η κατάχρηση των διεπαφών μπορεί να οδηγήσει σε κλοπή δεδομένων, διακοπή λειτουργίας του κώδικα, μη εξουσιοδοτημένη πρόσβαση και επιθέσεις κατά της αλυσίδας εφοδιασμού.
Το σφάλμα έχει διορθωθεί στις εκδόσεις 16.5.6, 16.6.4, και 16.7.2 του GitLab. Επιπλέον, διορθώσεις κώδικα έχουν εφαρμοστεί στις εκδόσεις 16.1.6, 16.2.9, 16.3.7, και 16.4.5, βελτιώνοντας την ασφάλεια και την απόδοση.
Read also: CISA: Take action on the Microsoft hack
Η CISA δεν έχει ακόμα αναφέρει περαιτέρω λεπτομέρειες σχετικά με το πώς η ευπάθεια μπορεί να εκμεταλλευτεί σε πραγματικές επιθέσεις. Γι’αυτό, είναι υποχρεωτικό για τις ομοσπονδιακές υπηρεσίες, που διαθέτουν ενεργούς χρήστες, να υιοθετήσουν τις τελευταίες ενημερώσεις ασφαλείας έως τις 22 Μαΐου 2024, εξασφαλίζοντας έτσι την protection των δικτύων τους.
Source: thehackernews
 που επηρεάζει το GitLab.){kind=link}