Nền tảng DevOps GitLab vá lỗ hổng thực thi mã từ xa nghiêm trọng
Cụ thể, lỗ hổng nghiêm trọng định danh CVE-2022-2884 có điểm CVSS 9,9 có thể bị khai thác thông qua API import từ GitHub với điều kiện quá trình xác thực được kích hoạt. Lỗ hổng ảnh hưởng đến tất cả các phiên bản từ 11.3.4 đến 15.1.5, từ 15.2 đến 15.2.3. Tất cả các phiên bản bắt đầu từ 15.3 đến 15.3.1 cho phép người dùng đã xác thực thực thi mã từ xa thông qua API Import từ trên GitHub
Phiên bản GitLab Community Edition và Enterprise Edition 15.3.1, 15.2.3 và 15.1.5 đã có các bản vá cho lỗ hổng này. Để giảm thiểu nguy cơ bị tấn công người dùng và trị viên cần cập nhật phiên bản mới nhất càng sớm càng tốt để tránh bị tấn công.
Trong tháng 7, GitLab cũng đã phát hành bản vá để xử lý lỗ hổng định danh CVE-2022-2185 có điểm CVSS 9,9, liên quan đến việc người dùng xác thực có thể import một project độc hại dẫn đến thực thi mã từ xa. Tương tự như lỗ hổng CVE-2022-2884, điều kiện để khai thác được lỗ hổng này là việc xác thực thành công và thông qua tính năng import trên GitLab.
M.H
