Lỗ hổng CVE-2022-2884 (CVSS 9,9/10) ảnh hưởng đến GitLab Community Edition (CE) và Enterprise Edition (EE), có thể bị khai thác thông qua API import trên GitHub với điều kiện quá trình xác thực được kích hoạt.

Lỗi ảnh hưởng đến tất cả các phiên bản từ 11.3.4 đến 15.1.5, từ 15.2 đến 15.2.3, tất cả các phiên bản bắt đầu từ 15.3 đến 15.3.1.

Để giảm thiểu nguy cơ bị tấn công, các chuyên gia WhiteHat khuyến nghị người dùng cập nhật phiên bản mới nhất càng sớm càng tốt. Ngoài ra, quản trị viên cũng nên:

+ Rà soát không để các dịch vụ public ngoài Internet. Nếu bắt buộc public, phải đảm bảo hạn chế truy cập dịch vụ (VPN, Phân quyền IP...)

+ Rà soát các tài khoản có quyền tạo project. Nếu có tài khoản không còn sử dụng, cần xóa tài khoản

+ Rà soát mật khẩu tài khoản xác thực GitLab, đảm bảo các tài khoản đều sử dụng mật khẩu mạnh hoặc thực hiện xác thực đa yếu tố
 

Bkav