GitLab phát hành bản sửa lỗi cho lỗ hổng xác thực SAML nghiêm trọng

08:00 | 26/09/2024 | DOANH NGHIỆP

GitLab đã phát hành bản cập nhật bảo mật để giải quyết lỗ hổng vượt qua xác thực (bypass) SAML nghiêm trọng ảnh hưởng đến các bản cài đặt tự quản lý (self-managed) của GitLab Community Edition (CE) và Enterprise Edition (EE).

GitLab phát hành bản sửa lỗi cho lỗ hổng xác thực SAML nghiêm trọng

SAML là giao thức xác thực đăng nhập một lần (SSO) cho phép người dùng đăng nhập trên nhiều dịch vụ khác nhau bằng cùng một thông tin đăng nhập.

Lỗ hổng được theo dõi có mã định danh CVE-2024-45409 (điểm CVSS: 10,0), xuất phát từ sự cố trong thư viện OmniAuth-SAML và Ruby-SAML mà GitLab sử dụng để xử lý xác thực dựa trên SAML. Lỗ hổng bảo mật này xảy ra khi phản hồi SAML do nhà cung cấp danh tính (IdP) gửi tới GitLab có cấu hình sai hoặc bị xâm phạm.

Cụ thể, lỗ hổng liên quan đến việc xác thực không đầy đủ các thành phần chính trong SAML assertions, chẳng hạn như extern_uid (ID người dùng bên ngoài), được sử dụng để xác định duy nhất người dùng trên các hệ thống khác nhau.

Kẻ tấn công có thể tạo ra phản hồi SAML độc hại để đánh lừa GitLab nhận ra họ là người dùng đã xác thực, bỏ qua xác thực SAML và giành quyền truy cập vào phiên bản GitLab.

Lỗ hổng CVE-2024-45409 đã được giải quyết trong GitLab phiên bản 17.3.3, 17.2.7, 17.1.8, 17.0.8 và 16.11.10, trong đó OmniAuth SAML được nâng cấp lên phiên bản 2.2.1 và Ruby-SAML lên 1.17.0.

Người dùng phiên bản GitLab Dedicated trên GitLab.com không cần thực hiện hành động nào vì sự cố này chỉ ảnh hưởng đến các cài đặt tự quản lý.

Để giảm thiểu rủi ro, GitLab khuyến nghị người dùng bật xác thực hai yếu tố (2FA) cho tất cả tài khoản và đặt tùy chọn bỏ qua SAML 2FA thành “do not allow”.

Trong một diễn biến khác, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm 5 lỗ hổng bảo mật vào danh mục Các lỗ hổng đã khai thác được biết đến (KEV), bao gồm một lỗi nghiêm trọng mới được tiết lộ ảnh hưởng đến Apache HugeGraph-Server (CVE-2024-27348, điểm CVSS: 9,8), dựa trên bằng chứng về việc khai thác đang diễn ra.

Dương Ngân (Tổng hợp)

‹ › ×

Tin liên quan

GitLab phát hành bản vá giải quyết lỗ hổng nghiêm trọng trong tác vụ Pipeline

08:00 | 22/07/2024

Nền tảng DevOps GitLab phát hành bản cập nhật bảo mật quan trọng để giải quyết 6 lỗ hổng trong GitLab Community Edition (CE) và Enterprise Edition (EE), bao gồm một lỗ hổng được đánh giá là nghiêm trọng.

Các lỗ hổng nghiêm trọng trong hệ thống in CUPS Linux có thể cho phép thực thi lệnh từ xa

09:00 | 11/10/2024

Một chuỗi các lỗ hổng bảo mật mới đã được phát hiện trong hệ thống in CUPS (Common Unix Printing System) Linux, có thể cho phép các tin tặc thực hiện chèn lệnh từ xa trong một số điều kiện nhất định.

Lỗ hổng CVE-2024-4835 trên GitLab cho phép chiếm quyền tài khoản

13:00 | 12/06/2024

Một lỗ hổng nghiêm trọng cross-site scripting (XSS) định danh CVE-2024-4835 trong trình soạn thảo mã trực tuyến (Web IDE) của GitLab cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản người dùng mà không cần xác thực.

Lỗ hổng mới của GitLab có thể cho phép thực thi CI/CD Pipeline tùy ý

10:00 | 18/10/2024

GitLab đã phát hành bản cập nhật bảo mật cho Community Edition (CE) và Enterprise Edition (EE) để giải quyết 08 lỗ hổng bảo mật, bao gồm một lỗ hổng nghiêm trọng có thể cho phép thực thi các CI/CD Pipeline tùy ý.

CISA cảnh báo về việc khai thác lỗ hổng nghiêm trọng đặt lại mật khẩu trên GitLab

12:00 | 06/05/2024

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) bổ sung một lỗ hổng nghiêm trọng ảnh hưởng đến GitLab vào danh mục các lỗ hổng bị khai thác đã biết (KEV) do hoạt động khai thác tích cực trên thực tế.

Tin cùng chuyên mục

Amazon bị mạo danh nhằm chiếm đoạt tài sản

10:00 | 21/11/2024

Sàn thương mại điện tử Amazon đã nhận được một số báo cáo về tình trạng mạo danh Amazon và nhân viên Amazon để thực hiện các hành vi lừa đảo, gây thiệt hại cho người tiêu dùng.

Meta đối mặt với vụ kiện mới do không chặn quảng cáo giả mạo

07:00 | 17/11/2024

Tập đoàn Meta, chủ sở hữu của Facebook và Instagram đang phải đối mặt với vụ kiện mới tại Nhật Bản vì không ngăn chặn những quảng cáo lừa đảo tiền đầu tư.

Google Cloud sẽ áp dụng xác thực đa yếu tố vào năm 2025 cho tất cả người dùng

14:00 | 12/11/2024

Bộ phận quản trị Google Cloud đã thông báo rằng họ sẽ thực thi xác thực đa yếu tố (MFA) bắt buộc đối với tất cả người dùng vào cuối năm 2025. Đây là một phần trong nỗ lực nâng cao khả năng bảo mật tài khoản của Google.

Nền tảng Duolingo tích hợp thêm công nghệ trí tuệ nhân tạo

09:00 | 16/10/2024

Ngày 24/9, tại Hội thảo thường niên Duocon 2024, Nhà sản xuất nền tảng giáo dục trên di động Duolingo đã cho ra mắt những cải tiến mới dựa trên công nghệ trí tuệ nhân tạo (AI).