تسمح ثغرة Gitlab بسرقة الجلسة

مرة أخرى تم العثور على ثغرة على الإنترنت. اليوم جاء دور GitLab. اكتشف خبراء الأمن ثغرة تسمح بسرقة جلسات البدء للمستخدمين. Imperva هي الشركة التي اكتشفت هذا العيب الأمني. وكذلك أصل المشكلة.

تسمح الثغرة الأمنية في GitLab بسرقة الجلسة

كما يعلقون ، تكمن المشكلة في الرمز المميز المستخدم في تحديد جلسات المستخدمين. المعرّف الذي يعرّف هذا العنصر قصير جدًا. يؤدي هذا إلى تنفيذ هجوم القوة الغاشمة ويمكن العثور على المعرّف الذي يتوافق مع جلسة المستخدم بسرعة كبيرة.

ضعف GitLab

المشكلة هي أنه في حالة GitLab لم يتم تدمير هذه المعلومات ، وهو أمر يحدث في معظم الحالات. لأنه إذا تمكن شخص ما من تحديد الرمز المميز للمستخدم ، فيمكنه تنفيذ جميع أنواع الإجراءات باستخدام حسابه. بالإضافة إلى الوصول إلى معلوماتك ، يمكنك تعديلها أو إجراء عمليات شراء غير مرغوب فيها معها.

وقد تم التعليق على أن القوة الغاشمة هي إحدى الطرق التي يستخدمونها للحصول على هذه المعلومات في GitLab. على الرغم من وجود طرق أخرى أيضًا. طريقة أخرى هي هجوم رجل في الوسط ، لأن الرموز المميزة لا تنتهي صلاحيتها. كما سيتم استخدام حقن كود في قاعدة البيانات. على الرغم من أن هذا النوع من الهجمات يحتاج إلى وجود خلل أمني في الخوادم. ويبدو أن الأمر ليس كذلك هذه المرة.

شرعت الشركة في العمل على حل المشكلة. تمت إضافة بعض إجراءات التحقق من الرمز المميز. ولكن في الوقت الحالي لا يوجد المزيد من الأخبار. أعلن GitLab عن تغييرات على مدار الشهر ، لذلك سنرى ما سيحدث.