GitLab waarschuwt voor kritiek lek waardoor accounts zijn over te nemen

[Captain Kirk]

GitLab waarschuwt voor een kritieke kwetsbaarheid waardoor een aanvaller accounts van gebruikers eenvoudig kan overnemen. Het blijkt mogelijk om e-mails voor het resetten van het accountwachtwoord op een ongeverifieerd e-mailadres te laten afleveren. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0.

In het geval gebruikers voor hun account tweefactorauthenticatie (2FA) hebben ingeschakeld is het nog steeds mogelijk voor een aanvaller om het wachtwoord te resetten, maar niet om het account over te nemen, aangezien er nog een tweede factor is vereist om in te loggen. GitLab zegt niet bekend te zijn met misbruik van de kwetsbaarheid (CVE-2023-7028) en roept organisaties op die het platform zelf hosten om hun eigen logbestanden te controleren.

GitLab is een online DevOps-tool waarmee ontwikkelaars samen software kunnen ontwikkelen. Organisaties kunnen GitLab op hun eigen server of servers installeren of door GitLab laten beheren. De kwetsbaarheid is volgens GitLab vorig jaar mei geïntroduceerd. Organisaties en gebruikers worden opgeroepen om zo snel mogelijk de update te installeren en voor belangrijk accounts 2FA in te schakelen.

 

bron: https://www.security.nl