GitLab 向报告远程代码执行漏洞的研究员奖励 2 万美元
GitLab 向报告自家平台的严重远程代码执行漏洞的安全研究人员奖励了 2 万美元。该漏洞由 William “vakzz” Bowling 发现，Bowling 既是一名程序员同时也是 Bug 赏金猎人，他于3月23日通过 HackerOne Bug 赏金平台私密披露了该漏洞。
Bowling 表示，GitLab 的 UploadsRewriter 函数用于拷贝文件，而这正是此次严重安全问题的源头。当 issue 被用于跨项目复制时，UploadsRewriter 函数会检查文件名和补丁。然而在这过程中由于没有验证检查，导致出现路径遍历问题，这可能会被利用于复制任何文件。
根据 Bug 赏金猎人的说法，如果漏洞被攻击者利用，则可能会被用于”读取服务器上的任意文件，包括 token、私有数据和配置”。GitLab 实例和 GitLab.com 域均受到该漏洞的影响，此漏洞被 HackerOne 判定为严重等级程度。
Bowling 补充到，通过使用任意文件读取漏洞从 GitLab 的 secret_key_base 服务中抓取信息，可以将该漏洞变成远程代码执行（RCE）攻击。举例来说，如果攻击者改变了自己实例的 secret_key_base 以匹配项目，那么 cookie 服务也可以 *** 纵以用于触发 RCE 攻击。
Bowling 将漏洞发送给了 GitLab 安全团队，工程师们重现了此问题，并指出攻击者至少需要成为项目成员才能利用该漏洞，但根据 GitLab 高级工程师 Heinrich Lee Yu 的说法，攻击者也可以”创建自己的项目或组别来达到同样的目的”。
目前，该漏洞已经在 GitLab 12.9.1 版本中得到了解决，安全研究人员 Bowling 也于3月27日获得了全额赏金。
（稿源：开源中国，封面源自 *** 。）
“GitLab 向报告远程代码执行漏洞的研究员奖励 2 万美元” 的相关文章
超过 350 万俄罗斯互联网用户的账户被攻破 增长速度冠绝全球
Surfshark的一项研究显示，自3月开始入侵乌克兰以来，俄罗斯账户被攻破的次数比2月多136%。反过来，乌克兰在黑客攻击中充当受害者的场景比战争前的那个季度少67%。这些数字很可能是由于黑客组织Anonymous在冲突开始时宣布它将特意针对俄罗斯的事实。 sandr Valentij说。”泄...
开源模块维护者破坏代码，只为抗议乌克兰战争
Hackernews 编译，转载请注明出处： 一个广泛应用于 Windows、 Linux 和 Mac 环境的开源模块的维护者最近破坏了它的功能，以抗议乌克兰的战争，大众再次将注意力集中在与软件代码依赖相关的潜在的严重安全问题上。 Node-ipc 是一个用于进程间通信的 JavaScrip...
研究人员发现三个联想电脑的 UEFI 漏洞 影响规模可达数百万台
根据The Hacker News的报道，有三个高影响的统一可扩展固件接口（UEFI）安全漏洞被公布，即CVE-2021-3970、CVE-2021-3971和CVE-2021-3972，已被发现它们会影响联想的各种设备，如联想Flex、IdeaPads和Yoga笔记本电脑。 最初，CVE-202...
攻击者利用 DeFi 投票漏洞卷走 Beanstalk 近 1.82 亿美元加密货币
区块链分析公司 Peck Shield 于周日上午发布警告称，一名攻击者设法从 Beanstalk Farms 中提取了价值约 1.82 亿美元的加密货币。据悉，作为一个旨在平衡不同加密货币资产供需的去中心化金融（DeFi）项目，攻击者利用了 Beanstalk 的“多数投票治理系统”，这也是诸多...
7-Zip 被爆零日安全漏洞：可提权执行代码 但用户可简单操作使其失效
文件压缩软件 7-Zip 被爆零日安全漏洞，允许攻击者提权并执行任意代码。目前开发团队并未发布补丁，但普通用户可以通过简单操作来让这个漏洞失效。上周，研究人员 Kağan Çapar 发现并公布了 7-Zip 的一个零日漏洞，该漏洞可以授予权限升级和命令执行。 它被命名为 CVE-2022-290...
ESET：黑客借中东新闻网站对目标访客发起攻击
经历了持续一年多的追踪，网络安全研究人员终于摸清了“中东之眼”新闻网站入侵事件的来龙去脉。由 ESET 周二发布的报告可知，一群黑客入侵了总部位于伦敦的这家热门新闻网站。这家网站着眼于中东地区的新闻报道，而攻击者的最终目标却是网站访客。 伊朗驻阿布扎比大使馆网站的脚本注入 据悉，这轮黑客活动一直从...
评论列表
发表评论
