GitLab, 계정 하이재킹 결함 수정을 위한 보안 업데이트 출시

웹 기반 Git 리포지토리인 GitLab은 목요일에 GitLab Community Edition(CE) 및 Enterprise Edition(EE) 버전 16.7.2, 16.6.4 및 16.5.6을 출시하여 두 가지 중요한 취약점을 해결했습니다. 사용자 개입 없이 비밀번호를 재설정하여 계정 도용을 방지합니다. CVE-2023-7028 로 추적되는 첫 번째 심각한 취약점은 CVSS 채점 시스템에서 최대 심각도 점수(10점 만점에 10점)를 받았습니다.

 

이 문제는 16.1 이전 16.1.6, 16.2 이전 16.2.9, 16.3 이전 16.3.7, 16.4 이전 16.4.5, 16.5 이전 16.5.6의 GitLab CE/EE 버전을 실행하는 GitLab 자체 관리형 인스턴스에 영향을 미칩니다. 16.6.4 이전의 16.6 및 16.7.2 이전의 16.7에서는 해커가 모든 액세스 권한이 있는 계정을 쉽게 탈취하고 확인되지 않은 이메일 주소로 계정 비밀번호 재설정 이메일을 보낼 수 있습니다.

 

보안 연구원 'Asterion'은 HackerOne 버그 바운티 플랫폼을 통해 GitLab에 취약점을 발견하고 보고했습니다. 이 기능은 2023년 5월 1일 GitLab 버전 16.1.0 릴리스에 처음 등장했습니다. GitLab 보안 엔지니어인 Greg Myers 는 사용자가 보조 이메일 주소를 통해 비밀번호를 재설정할 수 있도록 변경된 후 GitLab 보안 릴리스 에서 공유했습니다. "이 취약점은 2023년 5월 1일 16.1.0에 도입되었습니다" “이 취약점은 이메일 확인 프로세스의 버그로 인해 발생합니다.”

 

이중 인증(2FA)을 활성화한 사용자는 비밀번호 재설정에 취약하지만 성공적인 로그인을 위해서는 두 번째 인증 요소가 필요하므로 계정 탈취에는 취약하지 않습니다. GitLab은 GitLab 버전 16.7.2, 16.5.6 및 16.6.4의 보안 문제를 수정했으며 이 수정 사항은 GitLab 버전 16.1.6, 16.2.9 및 16.3.7에도 백포트되었다고 밝혔습니다.

 

“이러한 버전에서는 모든 인증 메커니즘이 영향을 받습니다. 또한 이중 인증을 활성화한 사용자는 로그인에 두 번째 인증 요소가 필요하기 때문에 비밀번호 재설정에는 취약하지만 계정 탈취에는 취약하지 않습니다.”라고 Myers는 덧붙였습니다. 최신 보안 릴리스로 취약점이 해결되었지만 공급업체에서는 자체 관리형 GitLab 인스턴스 관리자가 취약한 모든 버전을 즉시 패치 버전으로 업데이트할 것을 강력히 권장합니다. 또한 사용자에게 모든 GitLab 계정(특히 관리자 계정)에 대해 2FA를 활성화하도록 권장합니다.

 

GitLab은 GitLab.com 및 GitLab Dedicated 인스턴스를 포함하여 GitLab이 관리하는 플랫폼에서 CVE-2023-7028의 남용을 감지하지 못했지만 방어자들을 위해 다음과 같은 타협 징후를 공유했다고 밝혔습니다.

• 여러 이메일 주소가 포함된 JSON 배열로 구성된 params.value.email을 사용하여 /users/password 경로에 대한 HTTP 요청이 있는지 gitlab-rails/production_json.log를 확인하세요
• gitlab-rails/audit_json.log 에서 Meta.caller.id가 PasswordsController#create이고 target_details가 여러 이메일 주소가 있는 JSON 배열로 구성된 항목을 확인하세요

GitLab은 또한 최신 업데이트의 일부로 CVE-2023-5356 (CVSS 점수 10점 만점에 9.6점) 으로 식별된 두 번째 중요한 취약점을 패치했습니다 이를 통해 공격자는 Slack / Mattermost 통합을 악용하여 다른 사용자로 슬래시 명령을 실행할 수 있습니다.

 

16.5.6 이전 8.13부터 시작하는 모든 버전, 16.6.4 이전 16.6부터 시작하는 모든 버전, 16.7.2 이전 16.7부터 시작하는 모든 버전의 GitLab CE/EE에 잘못된 인증 확인이 있습니다.

위의 두 가지 심각한 취약점 외에도 GitLab은 GitLab CE 및 EE 버전 16.7.2, 16.6.4 및 16.5.6에서 다음 세 가지 결함도 수정했습니다.

1. CVE-2023-4812 : GitLab 15.3 이상에 존재하는 심각도가 높은 이 문제(CVSS 점수: 7.6)는 이전에 승인된 병합 요청에 변경 사항을 추가하여 필요한 CODEOWNERS 승인을 우회합니다.
2. CVE-2023-6955 : 부적절한 액세스 제어로 인해 GitLab 16.7.2 이전에 존재하는 이 중간 심각도 문제(CVSS 점수: 6.6)를 통해 공격자는 한 그룹에 다른 그룹의 에이전트와 연결된 작업 영역을 생성할 수 있습니다.
3. CVE-2023-2030 : 12.2 이상의 모든 버전에 영향을 미치는 GitLab CE/EE에서 발견된 이 낮은 심각도 문제(CVSS 점수: 3.5)는 잠재적으로 공격자가 부적절한 서명 유효성 검사로 인해 서명된 커밋의 메타데이터를 수정할 수 있도록 허용할 수 있습니다.

최신 보안 릴리스에 대해 자세히 알아보려면 여기를 클릭하여 자세한 내용을 확인하세요.

 

*참조한 원본 글: https://www.techworm.net/2024/01/gitlab-security-update-fix-account-hijacking-flaw.html

 

데이터 과학자(데이터 사이언티스트)는 무엇을 공부해야 하나? 필수 과목과 교양 과목

 

 

비싸지만 iPad의 Magic Keyboard Folio는 최고의 태블릿 키보드