ช่องโหว่สำคัญใน Gitlab Community Edition และ Enterprise Edition
-
Cyber Security Agency of Singapore (CSA)ได้เผยแพร่เกี่ยวกับ Gitlab มีการเผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงที่ CVE-2024-45409 ซึ่งส่งผลกระทบต่อการติดตั้ง Community Edition (CE) และ Enterprise Edition (EE) ที่จัดการเอง ช่องโหว่นี้มีคะแนน Common Vulnerability Scoring System (CVSSv3)10 คะแนน
การใช้ประโยชน์จากช่องโหว่การตรวจสอบอินพุตสำเร็จอาจทำให้ผู้โจมตีสามารถหลีกเลี่ยงการพิสูจน์ตัวตนด้วย Security Assertion Markup Language (SAML) และสามารถเข้าถึง Gitlab instances ได้โดยการส่งการตอบกลับ SAML ที่สร้างขึ้นเป็นพิเศษ
ช่องโหว่นี้ส่งผลต่อผลิตภัณฑ์เวอร์ชันต่อไปนี้
• GitLab CE/EE version 16.11.10 and prior
• GitLab CE/EE version 17.0.8, 17.1.8, 17.2.7, 17.3.3 and priorแนะนำให้อัปเกรดเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด สำหรับผู้ใช้ GitLab Dedicated instances บน GitLab.com เนื่องจากปัญหาจะส่งผลต่อการติดตั้งที่จัดการด้วยตนเองเท่านั้น
สำหรับผู้ที่ไม่สามารถอัปเกรดเป็นเวอร์ชั่นที่ปลอดภัยได้ทันที GitLab แนะนำให้เปิดใช้การตรวจสอบสิทธิ์แบบสองปัจจัย (2FA) สำหรับบัญชีทั้งหมด และตั้งค่าตัวเลือกข้าม SAML 2FA เป็น "ไม่อนุญาต"อ้างอิง
https://www.csa.gov.sg/alerts-advisories/alerts/2024/al-2024-120
สามารถติดตามข่าวสารได้ที่ webboard หรือ Facebook NCSA Thailand
