【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

admin 2022年6月21日10:37:01安全漏洞评论23 views1269字阅读4分13秒阅读模式

【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

GitLab是一个基于Web的Git存储库,适用于需要远程管理其代码的开发人员团队。它拥有大约3000万注册用户和100万付费客户。

最近,为了解决一些漏洞,GitLab为其社区版和企业版产品的多个版本发布了关键安全更新,其中包含着一个允许帐户接管的漏洞。

通过控制GitLab帐户,黑客可以访问开发人员的项目并窃取其源代码,而这会造成严重的后果。


【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞


该漏洞被跟踪为CVE-2022-1680,严重性评分为9.9,从11.10至14.9.4、14.10至14.10.3和版本15.0的GitLab都会遭到影响


当配置SAML SSO组时,SCIM功能可以允许高级权限的任何使用者通过用户名或者邮件邀请任意用户,然后通过SCIM功能将这些邮件改为攻击者控制的邮件。根据Gitlab公司公告,在这种具有特定配置的实例上可以利用该漏洞,好消息是目标帐户上存在双因素身份验证 (2FA) 可以减少滥用的可能性,但是攻击者还是有可能更改目标帐户的显示名称和用户名。


关于修复


该问题已通过所有受影响分支机构的安全更新得到解决。所有GitLab用户都应尽快迁移到最新的可用版本。

有关如何更新GitLab的说明,请访问https://about.gitlab.com/update/。
对于GitLab Runner,您可以使用此数据库https://docs.gitlab.com/runner/install/linux-repository.html#updating-the-runner。

此外,要检查安全断言标记语言 (SAML) 访问保护是否处于活动状态,管理员可以查看此说明网页:
https://docs.gitlab.com/ee/integration/saml.html#configuring-group-saml-on-a-self-managed-gitlab-instance
其中包含有关将此功能设置为所需策略的指导。


其余高危漏洞


本次安全更新还修复了其他俩个高危险性的缺陷。第一个是Jira集成组件中的跨站点脚本 (XSS) 问题(CVE-2022-1940)它的严重性评分为 7.7。第二个是允许在联系人列表中注入HTML并启用XSS攻击,即缺少输入验证(CVE-2022-1948),严重性评分为8.7。

其它几个次危险性缺陷分别为IP白名单绕过漏洞,web段授权不当漏洞,群组成员访问不当漏洞以及锁绕过漏洞。

原文来自「安全圈」|侵删



【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞


中电运行是专业专注培养能源企业IT工匠和提供IT整体解决方案的服务商,也是能源互联网安全专家。

为方便大家沟通,中电运行开通“中电运行交流群”,诚挚欢迎能源企业和相关人士,以及对网络安全感兴趣的群体加入本群,真诚交流,互相学习【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞。想加入我们就给我们留言吧【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

小白必读!寰宇卫士手把手教你栈溢出(上)

手把手教你栈溢出(中)

手把手教你栈溢出(下)

《信息安全知识》之法律关键常识汇总

CTF经验分享|带你入门带你飞!

【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

原文始发于微信公众号(寰宇卫士):【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月21日10:37:01
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【CVE-2022-1680】GitLab安全更新修复了关键帐户接管漏洞 http://cn-sec.com/archives/1129431.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: