Адміністраторам GitLab слід звернути увагу на оновлення безпеки, що стосуються механізмів скидання паролів. Виправлення цієї вразливості є критичним для запобігання несанкціонованому доступу до облікових записів користувачів через маніпуляції з адресами електронної пошти.
11 січня 2024 року GitLab випустив оновлення версій 16.7.2, 16.6.4 та 16.5.6. Ці патчі усувають вразливість, яка дозволяла надсилати листи для скидання пароля на неперевірені адреси електронної пошти. Раніше зловмисник міг скористатися цією прогалиною, щоб перехопити процес відновлення доступу, спрямувавши посилання для скидання пароля на контрольовану ним поштову скриньку.
Рекомендації:
- Оновіть інсталяції GitLab до версій 16.7.2, 16.6.4 або 16.5.6 залежно від вашої поточної гілки.
- Перевірте журнали аудиту на предмет підозрілих запитів на скидання пароля за останні дні.
- Переконайтеся, що політики безпеки GitLab налаштовані на обов'язкову верифікацію електронних адрес для всіх користувачів.
Використані джерела
- about.gitlab.com (about.gitlab.com)