Περιεχόμενα Άρθρου
Το GitLab έχει εκδοθείς μια κρίσιμη ενημέρωση ασφαλείας λόγω τρωτών σημείων που εκθέτουν λογαριασμούς χρηστών. Αυτή η ενημέρωση επηρεάζει πολλές εκδόσεις, συμπεριλαμβανομένης της Community Edition (CE) και της Enterprise Edition (EE). Τα σοβαρά ελαττώματα θα μπορούσαν να οδηγήσουν σε μη εξουσιοδοτημένη πρόσβαση, άρνηση παροχής υπηρεσιών και αποκάλυψη πληροφοριών, προκαλώντας άμεση δράση από τους χρήστες.
Η κρίσιμη ενημέρωση του GitLab: Αντιμετώπιση τρωτών σημείων που αποκαλύπτουν λογαριασμούς χρηστών
Μεταξύ των επισημασμένων τρωτών σημείων είναι CVE-2024-11274το οποίο φέρει βαθμολογία CVSS 8,7. Αυτό το ελάττωμα επιτρέπει στους εισβολείς να εισάγουν κεφαλίδες καταγραφής σφαλμάτων δικτύου (NEL) στις αποκρίσεις διακομιστή μεσολάβησης Kubernetes, επιτρέποντας ενδεχομένως την εξαγωγή δεδομένων περιόδου σύνδεσης. Ως αποτέλεσμα, οι εισβολείς θα μπορούσαν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε λογαριασμούς χρηστών υποκλοπώντας δεδομένα περιόδου σύνδεσης. Ένα άλλο κρίσιμο ζήτημα, CVE-2024-8233βαθμολογείται με 7,5 στην κλίμακα CVSS και επιτρέπει επιθέσεις άρνησης υπηρεσίας μέσω της αποστολής μη επικυρωμένων αιτημάτων για αρχεία diff, επηρεάζοντας όλες τις εκδόσεις του GitLab από την 9.4.
Η ενημέρωση αντιμετωπίζει επίσης τρωτά σημεία μεσαίας και χαμηλής σοβαρότητας. Ένα τέτοιο ζήτημα αφορά την πιθανή εκμετάλλευση του CI_JOB_TOKEN, το οποίο οι εισβολείς θα μπορούσαν να χρησιμοποιήσουν για να αποκτήσουν πρόσβαση σε περιόδους σύνδεσης χρήστη. Επιπλέον, τα τρωτά σημεία που σχετίζονται με τις ανοιχτές ανακατευθύνσεις και τη διέλευση διαδρομής ενέχουν κινδύνους για επιθέσεις phishing και διαρροή πληροφοριών. Οι κίνδυνοι της δέσμης ενεργειών μεταξύ ιστότοπων (XSS) προκύπτουν από ακατάλληλη κωδικοποίηση εξόδου, η οποία θα μπορούσε να οδηγήσει σε επιθέσεις εάν δεν υπάρχει η Πολιτική Ασφάλειας Περιεχομένου (CSP). Επιπλέον, μη εξουσιοδοτημένοι χρήστες ενδέχεται να αποκτήσουν πρόσβαση σε ευαίσθητες πληροφορίες, όπως ονόματα υποκαταστημάτων σε ιδιωτικά έργα και λεπτομέρειες σχετικά με περιστατικά.
Το GitLab προέτρεψε τους χρήστες να ενημερώσουν αμέσως τις πιο πρόσφατες εκδόσεις για να μετριάσουν αυτούς τους κινδύνους ασφαλείας. Η εταιρεία έχει αναγνωρίσει το ρόλο των ερευνητών ασφάλειας στον εντοπισμό αυτών των τρωτών σημείων μέσω του προγράμματος επιβράβευσης σφαλμάτων HackerOne.
Παραβίαση δεδομένων Byte Federal που συνδέεται με ευπάθειες του GitLab
Στις 12 Δεκεμβρίου 2024, η Byte Federal Inc. κατατέθηκε μια ειδοποίηση παραβίασης δεδομένων, αποκαλύπτοντας ότι ένα μη εξουσιοδοτημένο μέρος είχε πρόσβαση στους διακομιστές του εκμεταλλευόμενος μια ευπάθεια στο GitLab. Αυτή η παραβίαση πιστεύεται ότι επηρέασε περίπου 58.000 άτομα, εκθέτοντας ευαίσθητες πληροφορίες, όπως ονόματα, ημερομηνίες γέννησης, διευθύνσεις, διευθύνσεις ηλεκτρονικού ταχυδρομείου και ταυτότητες που εκδόθηκαν από την κυβέρνηση.
Η Byte Federal, ένας χειριστής Bitcoin ATM με έδρα τη Βενετία της Φλόριντα, έμαθε για το περιστατικό στις 18 Νοεμβρίου 2024. Η εταιρεία ανέλαβε άμεσα μέτρα για την ασφάλεια των διακομιστών της, κλείνοντας την πλατφόρμα της, απομονώνοντας τη μη εξουσιοδοτημένη πρόσβαση και διεξάγοντας έρευνα με τρίτο εμπειρογνώμονες στον κυβερνοχώρο. Δεν είναι ακόμη σαφές πόσο καιρό το μη εξουσιοδοτημένο μέρος είχε πρόσβαση στα ευαίσθητα δεδομένα.
Η διαδικασία ευαισθητοποίησης και ειδοποίησης για τα επηρεαζόμενα άτομα ξεκίνησε με επιστολές παραβίασης δεδομένων που στάλθηκαν στις 12 Δεκεμβρίου. Αυτές οι επιστολές παρέχουν λεπτομέρειες σχετικά με τις παραβιασμένες πληροφορίες, οι οποίες μπορεί επίσης να περιλαμβάνουν αριθμούς Κοινωνικής Ασφάλισης, δραστηριότητα συναλλαγών και φωτογραφίες. Η Byte Federal συνεχίζει να εξετάζει τα παραβιασμένα αρχεία για να εκτιμήσει την ακριβή έκταση της διαρροής δεδομένων.
Τα προληπτικά μέτρα περιλαμβάνουν την επαναφορά όλων των λογαριασμών πελατών και την ενημέρωση των κωδικών πρόσβασης σε μια προσπάθεια προστασίας από πιθανή κλοπή ταυτότητας και απάτη. Οι προσπάθειες της Byte Federal υπογραμμίζουν τις συνεχιζόμενες προκλήσεις που αντιμετωπίζουν οι επιχειρήσεις όσον αφορά την ασφάλεια των δεδομένων και τη σημασία της ταχείας απόκρισης σε περιστατικά μετά από παραβίαση.
Πίστωση επιλεγμένης εικόνας: GitLab
VIA: Πηγή Άρθρου
Greek Live Channels Όλα τα Ελληνικά κανάλια:
Βρίσκεστε μακριά από το σπίτι ή δεν έχετε πρόσβαση σε τηλεόραση;
Το IPTV σας επιτρέπει να παρακολουθείτε όλα τα Ελληνικά κανάλια και άλλο περιεχόμενο από οποιαδήποτε συσκευή συνδεδεμένη στο διαδίκτυο.
Αν θες πρόσβαση σε όλα τα Ελληνικά κανάλια
Πατήστε Εδώ
Ακολουθήστε το TechFreak.GR στο Google News για να μάθετε πρώτοι όλες τις ειδήσεις τεχνολογίας.
