GitLab устранила критическую уязвимость, позволяющую взломать аккаунты

GitLab устранила критическую уязвимость, позволяющую взломать аккаунты

GitLab устранила критическую уязвимость, позволяющую взломать аккаунты

DevOps-платформа GitLab выпустила обновления софта, устраняющие критическую уязвимость, которая в случае успешной эксплуатации может позволить атакующим получить контроль над аккаунтами.

Проблема в безопасности отслеживается под идентификатором CVE-2022-1162, эксперты дали ей 9,1 балла по шкале CVSS. Брешь удалось обнаружить в ходе внутренней проверки командой GitLab.

«Для аккаунтов, зарегистрированных с помощью OmniAuth-провайдера (например, OAuth, LDAP, SAML), пароль устанавливался в жёстко запрограммированном виде, что позволяло получить контроль над затронутыми учётными записями. Уязвимости подвержены версии GitLab CE/EE 14.7 (до 14.7.7), 14,8 (до 14.8.5) и 14.9 (14.9.2)», — гласит официальное уведомление.

Представители GitLab также отметили, что им пришлось сбросить пароли ряда пользователей, чтобы предотвратить возможные киберинциденты. Внутреннее расследование показало отсутствие признаков компрометации аккаунтов.

 

Компания также опубликовала скрипт, который администраторы могут использовать для вычисления учётных записей, затронутых брешью CVE-2022-1162. Если такие аккаунты найдутся, администраторам следует сбросить их пароли, пишет команда GitLab.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники снова звонят на стационарные номера

Мошенники снова начали активно звонить на стационарные телефоны. Чаще всего они используют сценарий с якобы необходимостью продлить договор с оператором связи. Эксперты предупреждают: подобных случаев станет больше, а сами схемы — разнообразнее.

О масштабах этой «новой старой» практики ТАСС рассказал член комитета Госдумы по информационной политике, информационным технологиям и связи, федеральный координатор проекта «Цифровая Россия» Антон Немкин.

По его словам, самым распространённым остаётся скрипт с продлением контракта. Обычно злоумышленники представляются сотрудниками «Ростелекома». Сценарий стандартный: под предлогом подтверждения личности просят продиктовать код из СМС. Получив его, могут войти в личный кабинет на портале «Госуслуги» или в онлайн-банк.

На следующем этапе подключаются «сотрудники» Росфинмониторинга или Роскомнадзора. Они запугивают жертву и требуют перевести деньги на «безопасный счёт» или передать наличные курьеру якобы для «проверки».

«Главная задача мошенников — выбить человека из эмоционального равновесия, чтобы он перестал критически оценивать происходящее. Особенно опасно, что сценарий подстраивается под возраст и уровень цифровой грамотности жертвы», — пояснил депутат.

Основная цель таких атак — пожилые люди. Они продолжают пользоваться стационарными телефонами и, как правило, доверяют официальным организациям. По прогнозу Антона Немкина, число подобных случаев будет расти, как и разнообразие используемых схем.

В качестве мер предосторожности депутат рекомендовал устанавливать автоответчики и по возможности отключать управление личными кабинетами без входа через мобильное приложение или биометрию. Также важно регулярно напоминать пожилым родственникам, что государственные службы никогда не просят сообщать коды из СМС или переводить деньги для «проверки».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru