Technischer Support
Dokumentation
Anmeldung
Kontakt
TuxCare BlogGitLab Sicherheits-Patches: Schutz für Ihre Daten
von Wajahat Raja
5. Oktober 2023. TuxCare-Expertenteam
GitLab hat kürzlich wichtige Sicherheitsupgrades veröffentlicht veröffentlicht, um die Sicherheit des weit verbreiteten Open-Source-Code-Repositorys und der DevOps-Plattform für kollaborative Softwareentwicklung zu verbessern. Diese GitLab Sicherheits-Patches sind dazu gedacht eine Schwachstelle zu beheben, durch die Unternehmen Sicherheitsbedrohungen ausgesetzt sein könnten. In diesem Blog gehen wir auf die jüngsten GitLab-Sicherheitsverbesserungen und wie wichtig es ist, im sich ständig verändernden Bereich der Cybersicherheit auf dem Laufenden zu bleiben.
Enthüllung der Verwundbarkeit
Das Sicherheitsteam von GitLab hat eine schwerwiegende Schwachstelle entdeckt und behoben, die, wenn sie missbraucht wird Angreifer unbefugten Zugriff auf die Berechtigungen eines Benutzers erlangen können. Diese Schwachstelle wurde durch Sicherheitsscan-Richtlinien verursacht, die von Hackern geändert werden konnten. Angreifer könnten sich als legitime Benutzer ausgeben und so unbefugte Aktivitäten in der GitLab-Umgebung ermöglichen. Der Zugriff auf sensible Daten, die Änderung von Code und sogar Angriffe auf die Software-Lieferkette sind Beispiele für solche Vorgänge. Dies ist ein großes Risiko für die DatenintegritätCodesicherheitund die allgemeine Geschäftskontinuität.
Die schnelle Reaktion von GitLab
GitLab veröffentlichte schnell zwei überarbeitete Versionen, um diese potenzielle Sicherheitslücke zu schließen: 16.3.4 und 16.2.7, die sowohl für die Community- als auch für die Enterprise-Editionen bestimmt sind. Diese Updates beheben nicht nur die gemeldeten Sicherheitslücken, sondern dienen auch als vorbeugende Maßnahme, um GitLab-Benutzer vor möglichen Bedrohungen zu schützen. GitLab empfiehlt allen Anwendern dringend, ihre Installationen im Rahmen ihrer bewährten Sicherheitspraktiken rasch auf eine dieser Versionen zu aktualisieren, um zu gewährleisten, dass ihre DevOps-Umgebung sicher bleibt.
Von mittlerem bis kritischem Schweregrad
Johann Carlsson, besser bekannt als "joaxcar", der eine entscheidende Rolle bei der Entdeckung der Schwachstelle spielte, hat diese Entdeckung möglich gemacht. Carlsson, ein Sicherheitsforscher und Fehlerjäger, entdeckte die Schwachstelle bei seiner Arbeit mit dem GitLab's HackerOne Fehlerjagdprogramm. Diese gemeinschaftliche GitLab-Schwachstellenbehebungen sind wichtig, um mögliche Probleme zu identifizieren und zu entschärfen, bevor sie von kriminellen Akteuren ausgenutzt werden.
Vor allem diese jüngste Sicherheitslücke, CVE-2023-5009einen weitaus höheren kritischen Schweregrad von 9,6 im Vergleich zu einem früheren Problem, CVE-2023-3932, mit einem mittleren CVSS-Schweregrad von 5,3. Die deutliche Erhöhung des Schweregrads unterstreicht die möglichen Auswirkungen dieser Sicherheitslücke auf GitLab-Benutzer.
Verstehen der Bedrohung
Laut Alex Ilgayev, Leiter der Sicherheitsforschung bei Cycode, kann ein Angreifer durch Ausnutzung der aktuellen Schwachstelle die Scan-Ausführungsrichtlinie von GitLab nutzen. Benutzer können integrierte Scanner für GitLab-Projekte konfigurieren, z. B. statische Analyse und Scannen auf Sicherheitslückenüber diese Funktion konfigurieren. Diese Scanner arbeiten innerhalb bestimmter Pipelines und haben vordefinierte Berechtigungen.
Die frühere Schwachstelle ermöglichte es Angreifern, sich als Committer der Policy-Datei auszugeben, die Kontrolle über die Pipeline-Berechtigungen zu erlangen und auf die privaten Repositories eines beliebigen Benutzers zuzugreifen. Angreifer könnten im Wesentlichen die Berechtigungen beliebiger Benutzer übernehmen, indem sie den Autor der Richtliniendatei mit dem Befehl "git config" ändern. GitLab-Sicherheitsaktualisierungen wurden von GitLab zur Verfügung gestellt, die es ermöglichen, dass Sicherheitsscans von einem speziellen Bot-Benutzer mit eingeschränkten Rechten durchgeführt werden können.
Entlarvung des Bypasses
Obwohl GitLab die Umgehung nicht offiziell veröffentlicht hat, behauptet Ilgayev, dass sie das Entfernen des Bot-Benutzers aus der Gruppe erfordert, wodurch der vorherige Schwachstellenfluss ausgeführt werden kann. Diese Erkenntnis unterstreicht die Komplexität des Umgangs mit und der Entschärfung solcher Sicherheitsbedenken sowie die Bedeutung umfassender Sicherheitstests.
GitLab Sicherheits-Patches: Anfällige GitLab-Instanzen
Es ist wichtig zu wissen, welche GitLab-Instanzen anfällig für Missbrauch sind. Wenn in Ihrer GitLab-Instanz sowohl die Funktionen für direkte Übertragungen als auch für Sicherheitsrichtlinien gleichzeitig aktiviert sind, ist sie anfällig. Dies gilt für jede Version ab 13.12 vor 16.2.7 und jede Version ab 16.3 vor 16.3.4. Nick Malcom, ein Senior Security Engineer bei GitLab, gab hilfreiche Ratschläge, indem er vorschlug Deaktivieren einer oder beider dieser Funktionen das Problem in den Fällen entschärfen kann wenn ein Upgrade nicht sofort durchführbar ist.
Priorisierung der Sicherheit bei DevOps
In der schnelllebigen Welt von DevOps, in der kontinuierliche Integration und Bereitstellung zum Standard gehören, sollte die Sicherheit niemals in den Hintergrund treten. Die proaktive Strategie von GitLab zur Erkennung und Begrenzung von GitLab-Software-Schwachstellen veranschaulicht die Bedeutung der Cybersicherheit in der modernen Softwareentwicklung. Um Ihr Unternehmen vor potenziellen Bedrohungen und Schwachstellen zu schützen, müssen Sie stets informiert sein und schnell reagieren, wenn Sicherheitsupdates veröffentlicht werden.
Schlussfolgerung
Schließlich ist die GitLab-Patch-Veröffentlichung eine deutliche Erinnerung daran, dass die Cybersicherheit ein ständiges Unterfangen ist. Unternehmen können das Risiko von Sicherheitsverstößen minimieren und die Integrität ihrer DevOps-Umgebung gewährleisten, indem sie Korrekturen rechtzeitig anwenden und wachsam bleiben. In einer Zeit, in der digitale Werte und sensible Daten an erster Stelle stehen, sind Investitionen in effektive Cybersicherheitsmaßnahmen nicht nur eine bewährte Praxis, sondern ein Muss.
Zu den Quellen für diesen Beitrag gehören Artikel in den Hacker-Nachrichten und GitLab.
