Đầu tiên là lỗ hổng CVE-2023-7028. Lỗ hổng này đã được đánh giá ở mức độ rủi ro nghiêm trọng với điểm CVSS đạt tối đa là 10/10, có thể tạo điều kiện cho kẻ tấn công chiếm đoạt tài khoản bằng cách gửi email đặt lại (reset) mật khẩu đến một địa chỉ email chưa được xác minh.
Lỗ hổng này bắt nguồn từ một lỗi trong quá trình xác minh email cho phép người dùng đặt lại mật khẩu của họ thông qua địa chỉ email phụ. Nó ảnh hưởng đến tất cả các phiên bản tự quản lý của GitLab Community Edition (CE) và Enterprise Edition (EE) đang sử dụng các phiên bản: 16.1 trước 16.1.6; 16.2 trước 16.2.9; 16.3 trước 16.3.7; 16.4 trước 16.4.5; 16.5 trước 16.5.6; 16.6 trước 16.6.4; 16.7 trước 16.7.2.
GitLab cho biết họ đã giải quyết vấn đề này trong các phiên bản GitLab 16.5.6, 16.6.4 và 16.7.2, cũng như triển khai bản vá cho các phiên bản 16.1.6, 16.2.9, 16.3.7 và 16.4.5. Công ty này lưu ý thêm rằng lỗ hổng này xuất hiện trong phiên bản 16.1.0 vào ngày 1/5/2023.
GitLab cho biết: “Trong các phiên bản này, tất cả các cơ chế xác thực đều bị ảnh hưởng. Ngoài ra, người dùng đã bật xác thực hai yếu tố dễ bị đặt lại mật khẩu nhưng không thể chiếm đoạt tài khoản vì yếu tố xác thực thứ hai là bắt buộc để đăng nhập".
GitLab cũng tiến hành cập nhật bản vá cho một lỗ hổng nghiêm trọng khác là CVE-2023-5356, điểm CVSS 9.6/10. Lỗ hổng này cho phép người dùng lạm dụng tích hợp Slack/Mattermost để thực thi các slash command với tư cách một người dùng khác.
Theo khuyến cáo của Gitlab, để giảm thiểu mọi mối đe dọa tiềm ẩn, người dùng cần khẩn trương nâng cấp lên phiên bản mới nhất và bật xác thực hai yếu tố, đặc biệt đối với người dùng đặc quyền (elevated privileges).
Bá Phúc
(thehackernews.com)
15:00 | 19/01/2024
09:00 | 05/06/2023
08:00 | 06/02/2024
17:00 | 17/11/2021
13:00 | 26/02/2024
15:00 | 29/08/2022
08:00 | 15/03/2024
Nền tảng Lừa đảo dưới dạng dịch vụ (PhaaS) Labhost đã và đang giúp tội phạm mạng nhắm mục tiêu vào các ngân hàng Bắc Mỹ, đặc biệt là các viện tài chính ở Canada.
14:00 | 19/02/2024
Hợp doanh Accenture (Mỹ) và SandboxAQ cung cấp khả năng quản lý mật mã toàn diện dựa trên trí tuệ nhân tạo (AI), tận dụng Bộ bảo mật của SandboxAQ để cung cấp các giải pháp AI và điện toán lượng tử.
10:00 | 06/11/2023
Công ty AI mới xAI do Elon Musk sáng lập chuẩn bị ra mắt chatbot của mình, có tên là Grok. Chatbot mới này sẽ được phát hành dành cho người dùng đăng ký gói Premium+ của X với giá 16 USD mỗi tháng.
14:00 | 01/11/2023
Các doanh nghiệp công nghệ Việt gồm MK Hi-Tek, SafeGate, Pavana và Vissoft công bố bắt tay hợp tác để phát triển, sản xuất các sản phẩm thiết bị kết nối mạng Make in Vietnam, với mục tiêu làm chủ công nghệ và hiện thực hoá tầm nhìn đưa Việt Nam thành quốc gia tự chủ về an toàn, an ninh mạng để bảo vệ sự thịnh vượng của Việt Nam trên không gian mạng vào 2030.
Công ty được mệnh danh là “Google của Trung Quốc” - Baidu cho biết chatbot AI của hãng này, Ernie Bot đã có hơn 200 triệu người dùng trong bối cảnh cạnh tranh ngày càng khốc liệt.
19:00 | 30/04/2024