idNSA.id - GitLab telah bergerak untuk mengatasi kelemahan
keamanan yang kritis dalam layanannya, jika berhasil dieksploitasi, dapat
mengakibatkan pengambilalihan akun.
Dilacak sebagai CVE-2022-1680 , masalah tersebut memiliki
skor keparahan CVSS 9,9 dan ditemukan secara internal oleh perusahaan.
Kelemahan keamanan mempengaruhi semua versi GitLab Enterprise Edition (EE)
mulai dari 11.10 sebelum 14.9.5, semua versi mulai dari 14.10 sebelum 14.10.4,
dan semua versi mulai dari 15.0 sebelum 15.0.1.
"Ketika grup SAML SSO dikonfigurasi, fitur SCIM (hanya
tersedia pada langganan Premium+) dapat mengizinkan pemilik grup Premium untuk
mengundang pengguna dengan bebas melalui nama pengguna dan email mereka, lalu
mengubah alamat email pengguna tersebut melalui SCIM menjadi email yang
dikendalikan penyerang dan dengan demikian - tidak adanya 2FA - mengambil alih
akun tersebut," kata GitLab.
Setelah mencapai ini, pelaku juga dapat mengubah nama
tampilan dan nama pengguna akun yang ditargetkan, penyedia platform DevOps
memperingatkan dalam nasihatnya yang diterbitkan pada 1 Juni 2022.
Juga diselesaikan oleh GitLab dalam versi 15.0.1, 14.10.4,
dan 14.9.5 adalah tujuh kerentanan keamanan lainnya, dua di antaranya
berperingkat tinggi, empat berperingkat sedang, dan satu berperingkat rendah.
Pengguna yang menjalankan instalasi terpengaruh dari bug yang
disebutkan di atas disarankan untuk meningkatkan ke versi terbaru sesegera
mungkin.
