top of page

Gitlab corrige falha de tomada de controlo de conta





A falha dada pelo CVE-2022-1680 teve recentemente um patch por parte do Gtilab, que permitia a tomada de controlo de qualquer conta, se explorada com sucesso



Como funciona

Tendo o SAML SSO (Single Sign On por SAML) configurado, há uma funcionalidade denominada SCIM (Gestão de Contas entre Domínios), só para contas premium, que permite ao utilizador convidar qualquer utilizador pelo username ou email, e alterar o email desses mesmos utilizadores via SCIM para um email pertencente ao atacante. E devido à ausência do 2FA (2 factor authentication), era possível tomar controlo dessas mesmas contas. E depois dessa tomada de controlo, o atacante podia alterar o nome dessa mesma conta.




Versões corrigidas

15.0.1

14.10.4

14.9.5




Advisory oficial do gitlab: https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/

Mais informações sobre a falha: https://duo.com/decipher/gitlab-patches-critical-account-takeover-flaw

Comments


POSTS RECENTES:
PROCURE POR TAGS:
bottom of page