SK-CERT Bezpečnostné varovanie V20240129-02
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.9 |
| Identifikátor |
| GitLab CE a EE – kritická bezpečnostná zraniteľnosť |
| Popis |
| Vývojári platformy GitLab vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje viacero bezpečnostných zraniteľností, z ktorých jedna je označená ako kritická. Kritická bezpečnostná zraniteľnosť s označením CVE-2024-040ľ spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, autentifikovanému útočníkovi s právomocami používateľa prostredníctvom zaslania špeciálne vytvorených súborov získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme a spôsobiť zneprístupnenie služby. Ostatné zraniteľnosti možno zneužiť na zneprístupnenie služby alebo získanie neoprávneného prístupu k citlivým údajom. |
| Dátum prvého zverejnenia varovania |
| 25.01.2024 |
| CVE |
| CVE-2023-41056, CVE-2023-45322, CVE-2023-5612, CVE-2023-5933, CVE-2023-6159, CVE-2024-0402, CVE-2024-0456 |
| IOC |
| – |
| Zasiahnuté systémy |
| GitLab Community Edition (CE) vo verzii staršej ako 16.8.1, 16.7.4, 16.6.6 a 16.5.8 Enterprise Edition (EE) vo verzii staršej ako 16.8.1, 16.7.4, 16.6.6 a 16.5.8 |
| Následky |
| Úplné narušenie dôvernosti, integrity a dostupnosti systému Zneprístupnenie služby Neoprávnený prístup k citlivým údajom |
| Odporúčania |
| Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Následne odporúčame preveriť integritu kódu v repozitároch. Odporúčame tiež zaviesť podpisovanie commitov. Repozitáre odporúčame sprístupňovať len prostredníctvom VPN. Ak prevádzkujete Gitlab na verejných IP adresách, odporúčame vypnúť možnosť registrácie používateľov (dostupné na adrese /users/sign_up). Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. |
| Zdroje |
| https://about.gitlab.com/releases/2024/01/25/critical-security-release-gitlab-16-8-1-released/ |
« Späť na zoznam
