„Gitlab“ pažeidžiamumas leidžia seansų vagystes

Vėlgi pažeidžiamumas rastas internete. Šiandien yra „ GitLab“ eilė. Saugumo ekspertai aptiko pažeidžiamumą, leidžiantį vartotojams pavogti pradėtas sesijas. „Imperva“ yra įmonė, kuri aptiko šią saugumo spragą. Taip pat problemos kilmė.

„GitLab“ pažeidžiamumas leidžia atlikti sesijos vagystes

Kaip jie komentuoja, problema slypi žetone, kuris naudojamas vartotojų sesijoms žymėti. Šį elementą identifikuojantis ID yra per trumpas. Tai sukelia žiaurios jėgos išpuolį, o vartotojo sesiją atitinkantį ID galima rasti labai greitai.

„GitLab“ pažeidžiamumas

Problema ta, kad „ GitLab “ atveju ši informacija nėra sunaikinama, o tai nutinka daugeliu atvejų. Nes jei kas nors sugeba identifikuoti vartotojo prieigos raktą, jis galėtų su savo paskyra atlikti įvairius veiksmus. Be to, kad turite prieigą prie savo informacijos, galite ją modifikuoti arba su ja nusipirkti nepageidaujamų prekių.

Buvo komentuojama, kad žiauri jėga yra vienas iš būdų, kuriais jie naudojasi gaudami šią informaciją „GitLab“. Nors yra ir kitų būdų. Kitas būdas yra su „ žmogaus viduryje“ išpuoliu, nes žetonų galiojimas nesibaigia. Duomenų bazėje taip pat būtų naudojama kodo injekcija. Nors tokio tipo išpuoliuose serveriuose turi būti saugumo trūkumų. Ir panašu, kad šį kartą taip nėra.

Bendrovė ėmėsi darbo, kad išspręstų problemą. Pridėta keletas žetonų tikrinimo priemonių. Tačiau kol kas naujienų nėra. „GitLab“ paskelbė pakeitimus per mėnesį, todėl pamatysime, kas atsitiks.