Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yaygın olarak kullanılan bulut tabanlı, açık kaynaklı Git deposu platformu GitLab’da yeni tanımlanan bir güvenlik açığıyla ilgili kritik bir uyarı yayınladı.
CVE-2023-7028 olarak kataloglanan güvenlik açığı, GitLab’ın hem Topluluk hem de Kurumsal sürümlerinde uygunsuz erişim kontrolü mekanizmalarını içeriyor.
Siber suçlular, parola sıfırlama protokollerini atlamak için bu kusurdan yararlanıyor ve dünya çapında binlerce kuruluş için önemli bir tehdit oluşturuyor.
GitLab, dünya çapında 38.000’den fazla şirketin operasyonlarının ayrılmaz bir parçası olup yazılım geliştirme, sürekli entegrasyon ve sürekli dağıtım (CI/CD) süreçleri için önemli bir araç olarak hizmet vermektedir.
CVE-2023-7028’den yararlanmak, saldırganların özel projelere ve hassas verilere yetkisiz erişim elde etmesine olanak tanır ve bu da potansiyel fikri mülkiyet hırsızlığına ve operasyonel kesintiye yol açar.
Etkili Kötü Amaçlı Yazılım Analizi için ANY.RUN’u Şirketinize Entegre Edin
SOC, Tehdit Araştırması veya DFIR departmanlarından mısınız? Öyleyse, 400.000 bağımsız güvenlik araştırmacısından oluşan çevrimiçi topluluğa katılabilirsiniz:
- Gerçek Zamanlı Tespit
- İnteraktif Kötü Amaçlı Yazılım Analizi
- Yeni Güvenlik Ekibi Üyelerinin Öğrenmesi Kolay
- Maksimum veriyle ayrıntılı raporlar alın
- Linux’ta ve tüm Windows İşletim Sistemi Sürümlerinde Sanal Makineyi Kurma
- Kötü Amaçlı Yazılımlarla Güvenli Bir Şekilde Etkileşim Kurun
Tüm bu özellikleri şimdi sanal alana tamamen ücretsiz erişimle test etmek istiyorsanız:
ANY.RUN’u ÜCRETSİZ deneyin
Bu güvenlik açığı, etkilenen sistemlerin güvenliğini tehlikeye atıyor ve yazılım geliştirme ve dağıtım hattının bütünlüğünü tehdit ediyor; bu da GitLab kullanılarak geliştirilen uygulamaların güvenilirliği ve güvenliği üzerinde kademeli etkiler yaratabilir.
Bu güvenlik açığının aktif olarak kullanılmasına yanıt olarak CISA, potansiyel saldırılara karşı korunmak için birkaç acil azaltma stratejisi önermiştir:
Anında Yama: GitLab kullanan kuruluşların GitLab tarafından sağlanan en son güvenlik yamalarını uygulamaları tavsiye edilir.
Bu güncellemeler, hatalı erişim kontrolü mekanizmalarını düzelterek CVE-2023-7028 güvenlik açığını giderir.
Gelişmiş İzleme: Şirketler, bir suiistimal girişimini gösterebilecek olağandışı etkinlikleri tespit etmek için GitLab ortamlarının izlenmesini geliştirmelidir.
Buna oturum açma kalıplarının ve dosya erişim davranışlarının izlenmesi de dahildir.
Kimlik Doğrulamanın Güçlendirilmesi: GitLab’a erişim için çok faktörlü kimlik doğrulamanın (MFA) uygulanması, güvenliği ihlal edilmiş kimlik bilgileri yoluyla yetkisiz erişim riskini önemli ölçüde azaltabilir.
Düzenli Denetimler: İzinlerin uygun şekilde ayarlandığından ve yetkisiz değişiklik yapılmadığından emin olmak için GitLab yapılandırmalarının ve kullanıcı rollerinin düzenli denetimlerini gerçekleştirin.
Önceki GitLab Güvenlik Açıkları
GitLab geçmişte çeşitli güvenlik tehditlerinin hedefi olmuştu; daha önce tanımlanan CVE-2023-5356, CVE-2023-4812, CVE-2023-6955 ve CVE-2023-2030 gibi güvenlik açıkları vardı.
Bu güvenlik açıkları, yetkisiz dosya erişimine izin veren sorunlardan, bir saldırganın rastgele kod yürütmesine olanak tanıyan zayıflıklara kadar uzanıyordu.
Bu güvenlik açıklarının tekrarlayan doğası, GitLab kurulumlarının yönetilmesi ve güvenliğinin sağlanmasında sürekli dikkat ve sağlam güvenlik uygulamalarının gerekliliğini vurgulamaktadır.
CVE-2023-7028’in keşfi ve aktif olarak kullanılması, GitLab kullanan kuruluşlar için siber güvenlik titizliğinin kritik öneminin altını çiziyor.
Siber tehditler gelişmeye devam ederken, güncel güvenlik önlemlerinin sürdürülmesi ve bilinen güvenlik açıklarının derhal ele alınması, değerli dijital varlıkların korunması ve iş operasyonlarının sürekliliğinin sağlanması açısından çok önemlidir.
CISA’nın uyarısı, tüm GitLab kullanıcılarına güvenlik duruşlarını yeniden değerlendirmeleri ve önerilen korumaları gecikmeden uygulamaları için zamanında bir hatırlatma görevi görür.
Is Your Network Under Attack? - Read CISO’s Guide to Avoiding the Next Breach - Download Free Guide