Được gắn mã theo dõi là CVE-2023-7028 (điểm CVSS 10.0), đây là một lỗ hổng nghiêm trọng có thể cho phép các tác nhân đe dọa không được xác thực từ xa gửi email đặt lại mật khẩu đến các tài khoản email dưới sự kiểm soát của chúng để thay đổi mật khẩu và chiếm đoạt các tài khoản mục tiêu mà không có sự tương tác từ phía người dùng.
GitLab lưu trữ dữ liệu nhạy cảm, bao gồm cả khóa API. Việc khai thác thành công lỗ hổng CVE-2023-7028 có thể gây ra hậu quả nghiêm trọng vì nó không chỉ cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản người dùng GitLab mà còn đánh cắp thông tin nhạy cảm, thông tin xác thực và thậm chí cả kho lưu trữ mã nguồn độc hại bằng mã độc, dẫn đến các cuộc tấn công chuỗi cung ứng.
Ví dụ, kẻ tấn công có quyền truy cập vào cấu hình CI/CD có thể nhúng mã độc được thiết kế để đánh cắp dữ liệu nhạy cảm, chẳng hạn như Thông tin nhận dạng cá nhân (PII) hoặc mã thông báo xác thực, chuyển hướng chúng đến máy chủ do kẻ tấn công kiểm soát.
Tương tự như vậy, việc giả mạo mã kho lưu trữ có thể liên quan đến việc chèn phần mềm độc hại làm tổn hại đến tính toàn vẹn của hệ thống hoặc cung cấp backdoor để truy cập trái phép.
Hiện tại, CISA chưa chia sẻ bất kỳ thông tin nào liên quan đến các cuộc tấn công đang diễn ra khai thác lỗi bảo mật GitLab có mức độ nghiêm trọng tối đa này, nhưng cơ quan này xác nhận rằng không có bằng chứng nào cho thấy nó đang được sử dụng trong các cuộc tấn công mã độc tống tiền.
CISA lưu ý, điều quan trọng là cần phải vá các hệ thống có tài khoản không được bảo vệ bằng biện pháp xác thực hai yếu tố (2FA), bởi các tin tặc sẽ không thể khai thác lỗ hổng để chiếm đoạt đối với các tài khoản bật tính năng xác thực bổ sung này.
Lỗ hổng CVE-2023-7028 ảnh hưởng đến các phiên bản GitLab Community và Enterprise. GitLab đã sửa lỗi này trong phiên bản 16.7.2, 16.5.6 và 16.6.4.
CISA hiện vẫn chưa cung cấp bất kỳ chi tiết nào khác về cách lỗ hổng này bị khai thác trên thực tế. Do tình trạng lạm dụng lỗ hổng đang diễn ra, CISA khuyến nghị các tổ chức cần phải áp dụng các bản sửa lỗi mới nhất trước ngày 22/5 để ngăn chặn các cuộc tấn công tiềm tàng.
Hải Yến
(Tổng hợp)
09:00 | 21/05/2024
09:00 | 15/05/2024
10:00 | 18/10/2024
13:00 | 12/06/2024
10:00 | 17/05/2024
08:00 | 26/09/2024
10:00 | 27/05/2024
09:00 | 04/03/2024
14:00 | 28/05/2024
13:00 | 17/04/2024
08:00 | 06/02/2024
13:00 | 13/01/2025
Một lỗ hổng vừa được phát hiện trong Nuclei của ProjectDiscovery, một công cụ quét lỗ hổng nhanh, hiệu quả và có khả năng mở rộng. Nếu khai thác thành công, lỗ hổng này có thể cho phép kẻ tấn công bỏ qua các lần kiểm tra chữ ký và thực thi mã độc.
13:00 | 03/12/2024
Một công ty viễn thông Anh vừa tung ra "vũ khí bí mật" chống lừa đảo mang tên "bà lão AI" khiến cho kẻ lừa đảo bị cuốn vào những câu chuyện dài vô tận.
16:00 | 29/11/2024
Ngày 21/11, Bộ Thông tin và Truyền thông phối hợp với Hiệp hội An toàn thông tin Việt Nam (VNISA) và Cục An toàn thông tin tổ chức thành công Hội thảo - Triển lãm “Ngày An toàn thông tin Việt Nam 2024”. Công ty Mi2 đã đồng hành cùng chương trình với cương vị là Nhà tài trợ Bạc cùng Trellix mang đến những giải pháp bảo mật hệ thống thông tin trước tình hình tấn công có chủ đích APT cho các tổ chức, doanh nghiệp tại Việt Nam.
13:00 | 11/11/2024
Không chỉ dừng lại ở việc trò chuyện, ChatGPT nay đã được OpenAI trang bị thêm tính năng tìm kiếm với sự hỗ trợ của AI, hứa hẹn tạo nên làn sóng cạnh tranh mới trong lĩnh vực tìm kiếm trực tuyến vốn đang bị thống trị bởi Google.
Google vừa chính thức công bố Gemini 2.0 - bộ mô hình AI mới nhất với nhiều cải tiến vượt trội. Sự xuất hiện của Gemini 2.0 được kỳ vọng sẽ tạo ra cuộc cạnh tranh gay gắt với các đối thủ AI khác trên thị trường.
09:00 | 10/02/2025