描述文字      

某公共云盘出现“灾难级 Bug”,你保存在云盘的照片可能被他人随意观看,你还敢用公共云盘备份你的私密照片吗?

GitLab 关键漏洞:立即更新以避免被利用

使用 SAML 认证的自托管 GitLab 实例的组织应立即更新到最新版本,因为 GitLab 已发布了关键安全补丁。

这些更新解决了 CVE-2024-45409,这是 GitLab 社区版(CE)和企业版(EE)中的一个最高严重性漏洞。该漏洞允许攻击者绕过身份验证,作为任意用户登录受影响的系统。一旦进入,攻击者可能会窃取、泄露或修改源代码,向生产系统注入恶意代码,窃取机密或敏感数据,以及执行其他有害操作。

CVE-2024-45409:最高严重性威胁

CVE-2024-45409 的 CVSS 分数为 10.0,被分类为极其严重。该漏洞的利用复杂性低,无需特殊权限,也不需要用户交互,这使其特别危险。它影响 GitLab Dedicated(云托管版本)和 自托管 GitLab 实例。虽然 GitLab Dedicated 用户已受到保护,但自托管用户必须立即应用补丁。

GitLab 强烈建议为自托管实例的所有用户账户启用 双重身份验证(2FA),以降低被利用的风险。然而,他们警告说,身份提供者级别的多因素身份验证并不缓解此漏洞。此外,组织应禁用 GitLab 中的 SAML 双重身份验证绕过选项,并遵循建议的详细检测指南。

CVE-2024-45409 的详细信息

该漏洞源于 Ruby SAML 中的不当签名验证,GitLab 使用该库进行 SAML 身份验证。版本 12.2 及更早版本1.13.0 至 1.16.0 的 Ruby SAML 受到影响。该漏洞允许攻击者伪造 SAML 响应,作为任意用户登录,原因是对 SAML 响应中的加密签名验证不正确。

为了保护您的 GitLab 实例,请立即更新到最新版本,并遵循推荐的安全措施。

Leave a Comment

Your email address will not be published. Required fields are marked *