События

Эксперт «угнал» 700 доменов GitLab менее чем за минуту

Исследователю безопасности Эдвину Фудилу (Edwin Foudil), известному под псевдонимом EdOverflow, удалось перехватить сотни доменов GitLab всего за несколько секунд, проэксплуатировав уязвимость в механизме проверки домена.

Портал GitLab позволяет пользователям размещать контент и проекты под собственным доменным именем. 5 февраля текущего года администрация сервиса уведомила пользователей об отсутствии проверки подлинности при привязке домена к учетной записи GitLab. Данная проблема позволяла злоумышленнику обнаружить DNS-записи, указывающие на страницу GitLab с никому не принадлежащим IP-адресом и потенциально перехватить домен. Уязвимость затрагивала всех пользователей, которые создавали, а затем удаляли свои домены с помощью функции GitLab Pages.

1 февраля был опубликован отчет о данной уязвимости, содержащий код PoC-эксплоита. На основе данных из отчета Фудил написал небольшой скрипт для перехвата доменов. Поскольку GitLab позволяет указывать неограниченное количество доменов для одного репозитория, исследователь смог перехватить множество доменов за короткий промежуток времени.

«Я смог перехватить 700 доменов и поддоменов всего за одну минуту», - отметил специалист. По его словам, после перехвата домена злоумышленник потенциально может загрузить на него произвольный контент. В настоящее время проблема уже исправлена .

GitLab - платформа управления Git-репозиториями, анализа кода, отслеживания ошибок, тестирования, деплоя, ведения каналов и вики-страниц. GitLab помогает разработчикам вести непрерывный процесс развертывания для тестирования, создания и деплоя кода, следить за ходом тестов, повышать контроль над качеством, фокусирования на построении продукта вместо настройки инструментов.

Источник

Автор: Сергей Куприянов
22.02.2018 (11:47)
Пройди тест и узнай об этом!
Информер новостей
Расширение для Google Chrome
Пишите нам

Редакция: info@alterprogs.ru

Реклама: adv@alterprogs.ru

Все права защищены © 2010-2018

"Alterprogs.ru" - технологии будущего

Контакты  | Карта сайта

Использование любых материалов, размещенных на сайте, разрешается при условии ссылки на alterprogs.ru. Для интернет-изданий - обязательна прямая открытая для поисковых систем гиперссылка. Ссылка должна быть размещена в независимости от полного либо частичного использования материалов. Материалы в рубрике "Новости партнеров" публикуются на правах рекламы.