Недавнее исследование показало, что адрес электронной почты, который GitLab предоставляет пользователям для подачи заявок на проблемы, представляет собой уязвимость. Этот адрес можно использовать для отправки патчей, которые будут зафиксированы в репозитории от имени пользователя, а также для запуска CI/CD процессов, действующих от его имени.

Каждому пользователю GitLab доступен уникальный адрес электронной почты, который отображается за кнопкой с надписью "Email work item to this project". При отправке письма на этот адрес создается новая проблема в проекте, и ее автором становится отправитель письма.

Проблема заключается в том, что если злоумышленник получит доступ к этому адресу, он сможет отправить изменения в любой ветке, к которой у пользователя есть права на запись, включая основную ветку. Это открывает возможности для потенциальных атак, включая внедрение вредоносного кода в проекты.

Эксперты по безопасности рекомендуют пользователям GitLab быть особенно внимательными и не разглашать свои адреса электронной почты, связанные с проектами. Кроме того, следует рассмотреть возможность ограничения прав доступа к основным веткам и усиления мер безопасности в проектах.

GitLab пока не прокомментировал данную уязвимость, однако пользователи должны быть на чеку и следить за обновлениями платформы, чтобы защитить свои проекты от возможных атак. Важно помнить, что безопасность начинается с осведомленности о существующих рисках и уязвимостях.

Источник новости:
The Hacker News

Читать полностью