Уразливість Gitlab дозволяє красти сеансу

Знову вразливість виявляється в Інтернеті. Сьогодні черга GitLab. Експерти з безпеки виявили вразливість, яка дозволяє красти розпочаті сеанси користувачам. Imperva - компанія, яка виявила цей недолік безпеки. А також походження проблеми.

Уразливість у GitLab дозволяє розкрадати сеанс

Як вони коментують, проблема полягає в маркері, який використовується для позначення сеансів користувачів. Ідентифікатор, що ідентифікує цей елемент, занадто короткий. Це призводить до нападів грубої сили та ідентифікатор, що відповідає сеансу користувача, може бути знайдений дуже швидко.

Уразливість GitLab

Проблема полягає в тому, що у випадку GitLab ця інформація не знищується, що відбувається в більшості випадків. Тому що, якщо комусь вдасться ідентифікувати маркер користувача, він може виконувати всілякі дії зі своїм обліковим записом. Крім доступу до вашої інформації, ви можете змінювати її або робити небажані покупки з нею.

Було прокоментовано, що груба сила - це один із способів їх використання для отримання цієї інформації в GitLab. Хоча є й інші способи. Інший спосіб - з атакою "Людина в середині", оскільки символи не закінчуються. У базі даних також буде використано введення коду. Хоча в такому типі атаки потрібно мати недолік безпеки в серверах. І, схоже, цього разу не так.

Компанія розпочала роботу над вирішенням проблеми. Додано деякі заходи верифікації лексем. Але наразі новин більше немає. GitLab оголошує зміни протягом місяця, тому ми побачимо, що буде.