Dringend patchen: Gitlab-Schwachstelle ermöglicht Übernahme fremder Konten
Gitlab hat Sicherheitsupdates für mehrere Versionen seiner Communty- und Enterprise-Edition bereitgestellt. Damit schloss der Hersteller unter anderem eine Sicherheitslücke, die es nicht authentifizierten Angreifern ermöglichte, durch XSS-Attacken (Cross Site Scripting) fremde Nutzerkonten zu übernehmen. Der Schweregrad der als CVE-2024-4835 registrierten Schwachstelle ist mit einem CVSS von 8 als hoch eingestuft.
Wie Gitlab mitteilte(öffnet im neuen Fenster) , kann die Sicherheitslücke nur in Verbindung mit dem VS-Code-Editor ausgenutzt werden. Die dafür erforderliche Nutzerinteraktion beschränkt sich demnach auf einen einzelnen Klick, durch den die Zielperson auf eine vom Angreifer bereitgestellte Seite geleitet wird, "um vertrauliche Benutzerinformationen auszuspionieren" . Details wurden nicht genannt.
Gemeldet wurde CVE-2024-4835 von einem Sicherheitsforscher namens Matan Berson über das Hackerone-Bug-Bounty-Programm. Wie seinem Nutzerprofil(öffnet im neuen Fenster) zu entnehmen ist, erhielt Berson dafür eine Belohnung in Höhe von 10.270 US-Dollar.
Admins sollten dringend patchen
Neben CVE-2024-4835 patchte Gitlab mit den jüngsten Updates weitere sechs Sicherheitslücken, die mit CVSS-Werten zwischen 4,3 und 6,5 als mittelschwer eingestuft sind. Behoben wurden die Schwachstellen alle mit den Versionen 17.0.1, 16.11.3 und 16.10.6 der Community- und Enterprise-Edition von Gitlab. Der Hersteller empfahl Administratoren, ihre Instanzen dringend auf die neue Version zu aktualisieren.
Erst im Januar hatte Gitlab eine Sicherheitslücke (CVE-2023-7028) gepatcht, durch die Angreifer fremde Nutzerkonten übernehmen konnten, indem sie die zugehörigen Passwörter über eine nicht verifizierte E-Mail-Adresse zurücksetzten. Diese Schwachstelle ist mit einem maximal möglichen CVSS von 10 sogar als kritisch bewertet. Für die erfolgreiche Ausnutzung ist keinerlei Nutzerinteraktion erforderlich.
Den Statistiken von Shadowserver(öffnet im neuen Fenster) zufolge waren Ende Januar fast 5.400 Gitlab-Instanzen anfällig für CVE-2023-7028. Noch heute sind weltweit mehr als 2.000 dieser Instanzen angreifbar, davon rund 200 allein in Deutschland(öffnet im neuen Fenster) . Und das, obwohl die nötigen Patches seit mehr als vier Monaten verfügbar sind und seit Wochen bekannt ist, dass CVE-2023-7028 von Cyberkriminellen aktiv ausgenutzt wird .
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.