Lỗ hổng định danh CVE-2023-2825 là lỗ hổng truyền tải đường dẫn (path traversal), cho phép người dùng không xác thực đọc các tệp tùy ý trên máy chủ. Trong các trường hợp cụ thể, khi có tệp đính kèm tồn tại trong một project công khai được lưu trữ trong ít nhất năm nhóm, kẻ tấn công có thể khai thác lỗ hổng để truy cập dữ liệu nhạy cảm của người dùng.
Lỗ hổng được phát hiện và báo cáo thông qua chương trình Bug Bounty HackerOne của GitLab bởi một hacker có tên “pwnie”. Nhóm GitLab đã nhanh chóng phản hồi, đưa ra một bản vá với phiên bản cập nhật mới 16.0.1.
Mặc dù chỉ ảnh hưởng tới phiên bản 16.0.0 của GitLab CE/EE, lỗ hổng vẫn có tác động nghiêm trọng. Kẻ tấn công khai thác CVE-2023-2825 có khả năng truy cập và lấy các tệp dữ liệu nhạy cảm từ máy chủ. Các dữ liệu có thể bao gồm mã nguồn độc quyền, dữ liệu nhạy cảm của người dùng và các chi tiết cấu hình quan trọng có thể được sử dụng thêm để thỏa hiệp hệ thống quan trọng hơn.
Hơn nữa, lỗ hổng không yêu cầu bất kỳ xác thực nào, làm tăng khả năng khai thác của kẻ tấn công. Do mức độ nghiêm trọng của lỗ hổng, GitLab khuyến cáo người dùng nâng cấp các cài đặt GitLab đang chạy trên phiên bản 16.0.0 lên 16.0.1.
Phong Thu
07:00 | 17/01/2024
15:00 | 29/08/2022
08:00 | 06/02/2024
08:00 | 13/06/2022
17:00 | 17/11/2021
08:00 | 04/04/2024
Các nhà nghiên cứu bảo mật phát hiện ra plugin của bên thứ ba hiện có dành cho ChatGPT có thể hoạt động như một bề mặt tấn công mới để truy cập trái phép vào dữ liệu nhạy cảm.
14:00 | 19/02/2024
Tin tặc có thể giành quyền truy cập root trên nhiều bản phân phối chính của Linux trong cấu hình mặc định bằng cách khai thác lỗ hổng leo thang đặc quyền cục bộ mới được tiết lộ trong Thư viện GNU C (glibc).
07:00 | 18/01/2024
Một kỹ thuật khai thác mới có tên là SMTP Smuggling có thể được tin tặc sử dụng để gửi email giả mạo có địa chỉ người gửi giả và vượt qua các biện pháp bảo mật.
09:00 | 24/11/2023
Phân tích mới đây của công ty nghiên cứu bảo mật Blackwing Intelligence (Mỹ) cho biết nhiều lỗ hổng có thể bị khai thác để vượt qua xác thực Windows Hello trên máy tính xách tay Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro X. Các nhà nghiên cứu đã tìm ra điểm yếu trong cảm biến vân tay của Goodix, Synaptics và ELAN được nhúng vào thiết bị.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.
10:00 | 24/04/2024
