38/67 (IT) ประจำวันศุกร์ที่ 26 มกราคม 2567
เซิร์ฟเวอร์ GitLab นับพันเสี่ยงต่อการถูกโจมตีแบบ Zero-click โดยทาง GitLab ได้ออกแพตซ์อัปเดตความปลอดภัยที่ส่งผลกระทบต่อรุ่น Community และ Enterprise Edition เพื่อแก้ไขช่องโหว่ระดับ Critical ที่ CVE-2023-7028 (คะแนน CVSS 10) ซึ่งส่งผลกระทบต่อทุกเวอร์ชันดังต่อไปนี้
– 16.1 ก่อนเวอร์ชัน 16.1.5
– 16.2 ก่อนเวอร์ชัน 16.2.8
– 16.3 ก่อนเวอร์ชัน 16.3.6
– 16.4 ก่อนเวอร์ชัน 16.4.4
– 16.5 ก่อนเวอร์ชัน 16.5.6
– 16.6 ก่อนเวอร์ชัน 16.6.4
– 16.7 ก่อนเวอร์ชัน 16.7.2
CVE-2023-7028 เป็นช่องโหว่การตรวจสอบสิทธิ์ที่อนุญาตให้ผู้ไม่หวังดีส่งคำขอรีเซ็ตรหัสผ่านบัญชีไปยังที่อยู่อีเมลอื่นที่ไม่ได้รับการยืนยันได้ ส่งผลให้สามารถเข้าครอบครองบัญชีได้โดยไม่ต้องมีการโต้ตอบกับผู้ใช้ ซึ่งช่องโหว่ดังกล่าวได้รับการแก้ไขแล้วใน GitLab เวอร์ชัน 16.7.2, 16.5.6 และ 16.6.4 และการแก้ไขยังได้รับการ backported เป็น 16.1.6, 16.2.9 และ 16.3.7 นักวิจัยจาก ShadowServer ได้รายงานว่าอินสแตนซ์ 5,379 รายการที่ถูกเปิดเผยทางออนไลน์มีความเสี่ยงต่อช่องโหว่นี้ โดยเซิร์ฟเวอร์ที่มีช่องโหว่ส่วนใหญ่อยู่ในสหรัฐอเมริกา (964) เยอรมนี (730) และรัสเซีย (721)
แหล่งข่าว https://securityaffairs.com/158075/hacking/gitlab-servers-vulnerable-cve-2023-7028.html
