Kritične ranjivosti u sustavu GitLab
Dana 11. siječnja 2024. godine, tvrtka GitLab je objavila sigurnosnu nadogradnju kako bi otklonila više ranjivosti, uključujući kritične ranjivosti koje ako se iskorištavaju mogu dovesti do preuzimanja korisničkih računa ili izvršavanja naredbi u Slack/Mattermost integraciji kao drugi korisnik. Savjetuje se žurno ažuriranje sustava na najnoviju dostupnu inačicu.
Tehnički detalji ključnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2023-7028 (CVSS ocjena 10) omogućuje slanje poruka elektroničke pošte za ponovno postavljanje lozinke korisničkog računa na neprovjerene adrese elektroničke pošte, što dovodi do potencijalnog preuzimanja računa.
- Ranjivost CVE-2023-5356 (CVSS ocjena 9,6) omogućuje korisniku zlouporabu integracije GitLab-a s aplikacijama Slack i Mattermost, kako bi izvršavao naredbe unutar tih aplikacija (engl. slash commands) kao drugi korisnik.
-
Ranjivost CVE-2023-4812 (CVSS ocjena 7,6) omogućuje korisniku zaobilaženje potrebnog odobrenja CODEOWNERS, dodavanjem promjena prethodno odobrenom zahtjevu za spajanje verzija kôda.
Zahvaćeni proizvodi:
Ranjivost CVE-2023-7028 zahvaća GitLab Community Edition (CE) i Enterprise Edition (EE) verzije:
- od 16.1 do 16.1.6;
- od 16.2 do 16.2.9;
- od 16.3 do 16.3.7;
- od 16.4 do 16.4.5;
- od 16.5 do 16.5.6;
- od 16.6 do 16.6.4;
- od 16.7 do 16.7.2.
Unutar navedenih verzija, svi mehanizmi autentifikacije su ranjivi. Također korisnici koji imaju omogućenu dvofaktorsku autentifikaciju su ranjivi na ponovno postavljanje lozinke, ali ne i na preuzimanje korisničkog računa jer je potreban drugi faktor autentifikacije za prijavu na sustav.
Ranjivost CVE-2023-5356 zahvaća GitLab Community Edition (CE) i Enterprise Edition (EE) verzije:
- od 8.13 do 16.5.6;
- od 16.6 do 16.6.4;
- od 16.7 do 16.7.2.
Ranjivost CVE-2023-4812 zahvaća GitLab Community Edition (CE) i Enterprise Edition (EE) verzije:
- od 15.3 do 16.5.5;
- od 16.6 do 16.6.4;
-
od 16.7 do 16.7.2.
Preporuke:
Preporučuje se žurno ažuriranje ranjivih GitLab sustava na najnoviju dostupnu inačicu. Također zbog dodatne sigurnosti se preporučuje omogućavanje dvofaktorske autentifikacije (2FA).
Detekcija:
U trenutku pisanja članka nisu zabilježeni aktivni načini zlouporabe ranjivosti CVE-2023-7028 na platformama u nadležnosti GitLab-a. Uključujući GitLab.com i GitLab Dedicated instance.
Što se tiče samoupravljivih instanci, korisnicima se preporučuje pregled dolje navedenih dnevničkih zapisa kako bi provjerili moguće pokušaje iskorištavanja ranjivosti:
- Provjera "gitlab-rails/productionjson.log"_ za HTTP zahtjeve prema putanji /users/password s parametrima params.value.email sastavljenima od JSON polja s više adresa elektroničke pošte.
-
Provjera "gitlab-rails/auditjson.log"_ za meta.caller.id unose s PasswordsController#create i target_details varijablama sastavljenima od JSON polja s više adresa elektroničke pošte.
Više informacija moguće je pročitati na sljedećoj poveznici:
[inicijalna objava: 15.1.2024 - 13:10]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Uredba o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Smjernice za postupanje s neklasificiranim podacima
- Pravilnik o standardima sigurnosti neklasificiranih informacijskih sustava