Zeer kritiek GitLab-lek actief misbruikt: zeker 30.000 installaties kwetsbaar
Aanvallers maken op dit moment actief misbruik van een zeer kritieke kwetsbaarheid in GitLab waardoor zeker 30.000 installaties risico lopen, zo stelt securitybedrijf Rapid7. GitLab is een online DevOps-tool waarmee ontwikkelaars samen software kunnen ontwikkelen.
In april van dit jaar maakte GitLab een beveiligingsupdate beschikbaar voor een zeer kritieke kwetsbaarheid in de GitLab Community Edition (CE) en Enterprise Edition (EE), aangeduid als CVE-2021-22205. De applicatie bleek geüploade afbeeldingen niet goed te controleren. Door het uploaden van een speciaal geprepareerd DjVu-bestand kan een aanvaller willekeurige code als de git-gebruiker uitvoeren. Zo is het mogelijk om een shell op de server te krijgen.
In eerste instantie werd de impact van de kwetsbaarheid op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,9 beoordeeld. Op 21 september wijzigde GitLab dit naar een 10. De reden voor de aanpassing is dat het beveiligingslek ook door een ongeauthenticeerde aanvaller is te misbruiken, in plaats van alleen een geauthenticeerde aanvaller zoals eerst werd gedacht.
Er zijn verschillende exploits voor de kwetsbaarheid op internet verschenen. Hoewel er sinds april beveiligingsupdates beschikbaar zijn, hebben veel beheerders die nog niet geïnstalleerd. Rapid7 detecteerde 60.000 GitLab-installaties die vanaf het internet toegankelijk zijn. Daarvan zijn er 12.600 gepatcht gepatcht, maar draaien 30.000 installaties nog altijd een kwetsbare versie. Van 17.400 installaties kon de versie niet worden vastgesteld. Het aantal kwetsbare installaties ligt daardoor mogelijk boven de dertigduizend.
Naar verluidt zou er sinds juni of juli misbruik van het lek zijn gemaakt. Rapid7 verwacht dat misbruik zal toenemen zodra details bekend worden om ongeauthenticeerde aanvallen te kunnen uitvoeren. Beheerders worden dan ook opgeroepen om de update te installeren.
Zover ik lees is dit alleen voor de self-hosted versies van Gitlab. Dus niet de cloud versie omdat daar de bug al gefixt is.
Zover ik lees is dit alleen voor de self-hosted versies van Gitlab. Dus niet de cloud versie omdat daar de bug al gefixt is.
Alsof er nooit een bug in GitHub aan het licht komt!
Dan kan je voorlopig beter bij Microsoft blijven. :-P
Zover ik lees is dit alleen voor de self-hosted versies van Gitlab. Dus niet de cloud versie omdat daar de bug al gefixt is.
Kortom weer het standaard riedeltje van ongeveer 30000 incompetente beheerders, bedrijven.
Dat ze lekker zich eraan mogen branden.
Nu doe je net alsof er met GitHub nooit iets is of zal zijn... Het zou duidelijk moeten zijn dat dit niet het geval is.
Oh, dat valt dus erg mee. Dan kan ik gewoon overstappen van GitHub naar GitLab.
Nu doe je net alsof er met GitHub nooit iets is of zal zijn... Het zou duidelijk moeten zijn dat dit niet het geval is.
Dat zeg ik toch niet! Ik ben zelf fervent GitHub gebruiker! Maar sinds het door Microsoft is overgenomen zijn er stilaan wel dingen aan het veranderen die zorgwekkend te noemen zijn. Vandaar dat ik overstappen naar GitLab overweeg, zoals velen met mij. En het is nog Nederlands ook! (GitLab)
Oh, dat valt dus erg mee. Dan kan ik gewoon overstappen van GitHub naar GitLab.
Nu doe je net alsof er met GitHub nooit iets is of zal zijn... Het zou duidelijk moeten zijn dat dit niet het geval is.
Dat zeg ik toch niet! Ik ben zelf fervent GitHub gebruiker! Maar sinds het door Microsoft is overgenomen zijn er stilaan wel dingen aan het veranderen die zorgwekkend te noemen zijn. Vandaar dat ik overstappen naar GitLab overweeg, zoals velen met mij. En het is nog Nederlands ook! (GitLab)
Voor de nieuwsgierige lezer: http://techrights.org/2021/11/03/github-ceo-resigns/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
