Kritiek lek in GitLab actief uitgebuit

Hiervoor waarschuwt het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). Het gaat concreet om CVE-2023-7028, een beveiligingslek dat aanvallers in staat stelt tot het resetten van wachtwoorden, en daarbij de mail met herstellink te laten afleveren op een ongeverifieerd e-mailadres. Dit stelt in de praktijk aanvallers in staat ieder willekeurig account te resetten.

2FA biedt bescherming

Twee-factor authentificatie (2FA) biedt bescherming tegen het overnemen van GitLab-accounts. Aanvallers kunnen in dit geval nog steeds het wachtwoorden herstellen, maar met het ingestelde wachtwoord vervolgens niet inloggen. Zij moeten immers een tweede methode gebruiken om hun identiteit te verifiëren.

De kwetsbaarheid is overigens niet nieuw en al medio januari door GitLab via een patch gedicht. Shadowserver Foundation waarschuwt echter dat deze patch op lang niet alle GitLab-implementaties is toegepast, en er nog altijd ruim duizend implementaties kwetsbaar zijn.