Уязвимость 0-click в GitLab грозит захватом аккаунта

Уязвимость 0-click в GitLab грозит захватом аккаунта

Уязвимость 0-click в GitLab грозит захватом аккаунта

Вышедшие на прошлой неделе обновления GitLab 16.7.2, 16.6.4 и 16.5.6 устраняют пять уязвимостей, в том числе две критические. Одна из них, оцененная в 10 баллов CVSS, позволяет изменить пароль к аккаунту, не требуя никаких действий от его владельца.

Данная уязвимость (CVE-2023-7028) была привнесена в минувшем мае с выпуском сборки 16.1.0, предоставившей возможность использования вторичного почтового адреса для сброса пароля. Как оказалось, верификация имейл была реализована некорректно, что облегчило подмену.

Проблема перекочевала во все последующие выпуски GitLab CE и EE и грозит захватом аккаунта тем, кто не использует двухфакторную аутентификацию (2FA). Патч включен в состав обновлений 16.7.2, 16.6.4, 16.5.6, а также ввиду серьезности угрозы бэкпортирован в виде сборок 16.1.6, 16.2.9, 16.3.7 и 16.4.5.

Данных об использовании CVE-2023-7028 в атаках, пока нет, хотя PoC-код уже опубликован. Пользователям рекомендуется как можно скорее обновить свои экземпляры GitLab и включить 2FA хотя бы для админ-аккаунтов, а лучше для всех. Версия, используемая GitLab.com, уже пропатчена.

Выпуски 16.7.2, 16.6.4 и 16.5.6 также содержат заплатки для следующих уязвимостей:

  • CVE-2023-5356 (9,6 балла CVSS) — некорректная проверка авторизации, позволяющая выполнять слеш-команды от имени другого пользователя из рабочих сред Slack и Mattermost;
  • CVE-2023-4812 (7,6 балла) — возможность обхода правил владельцев кода (CODEOWNERS) путем изменения ранее одобренного запроса о слиянии;
  • CVE-2023-6955 (6,6 балла) — возможность создания рабочего пространства, ассоциированного с агентом другой группы;
  • CVE-2023-2030 (3,5 балла) — возможность подмены метаданных подписанных коммитов.

Printum и РЕД АДМ создают единый контур управления безопасной печатью

Российская система управления печатью Printum и система централизованного управления ИТ-инфраструктурой РЕД АДМ объявили о полной технической совместимости. Интеграция позволяет выстроить единый контур управления доступом, учётными записями и печатью в корпоративных инфраструктурах — от небольших офисов до распределённых сетей с множеством филиалов.

Во многих компаниях печать и сканирование до сих пор существуют как отдельная, «параллельная» инфраструктура: с собственными настройками, администраторами и рисками утечек.

Новая интеграция меняет этот подход. Управление печатью становится частью общей доменной политики — наряду с доступом к системам, сервисам и корпоративным ресурсам.

Теперь политики печати, сканирования и копирования можно напрямую связывать с ролями и группами пользователей, а доступ назначать и отзывать централизованно — через те же механизмы, которые используются для управления доменом и объектами ИТ-инфраструктуры. Это снижает количество «слепых зон» и упрощает администрирование.

Совместная дорожная карта Printum и РЕД АДМ предполагает более глубокую интеграцию. Элементы управления печатью будут доступны непосредственно в интерфейсе РЕД АДМ, а изменения в ролях и группах автоматически будут отражаться в правах на печать, сканирование и копирование. Администратору не потребуется поддерживать отдельные инструменты или политики — всё управление будет встроено в общую доменную структуру.

Для корпоративных заказчиков это означает переход к более унифицированной модели администрирования. Все ключевые операции выполняются через единый веб-интерфейс РЕД АДМ, а печать становится полноценной частью системы контроля доступа. Интеграция также рассчитана на масштабирование: решение подходит как для небольших организаций, так и для инфраструктур федерального уровня, включая среды с несколькими доменами.

Отдельно отмечается поддержка гетерогенных инфраструктур. Printum и РЕД АДМ могут работать в средах со смешанным набором систем на базе Linux и Windows, а также выстраивать доверительные отношения с Microsoft Active Directory, что упрощает поэтапную миграцию с зарубежных решений.

В Printum называют интеграцию логичным шагом в сторону более централизованного и управляемого подхода к печати, а в РЕД СОФТ подчёркивают, что совместимость расширяет возможности РЕД АДМ как универсального инструмента управления ИТ-инфраструктурой.

RSS: Новости на портале Anti-Malware.ru