🛠️ Lỗ hổng GitLab đạt điểm tối đa: Trang DApp bạn nhìn thấy được tạo ra từ pipeline nào?
Hai ngày qua, giới bảo mật thực sự bận rộn. Sau lỗ hổng nghiêm trọng của PHP và vụ rò rỉ biến môi trường Railway, giờ đến lượt GitLab.
Theo các bài đưa tin của The Hacker News và nhiều hãng truyền thông về bảo mật khác:
🔹 GitLab phát hành bản vá khẩn cấp vào ngày 21/10 theo giờ Mỹ
🔹 Lỗ hổng đạt điểm CVSS 10.0, tức điểm tối đa
🔹 Kẻ tấn công có thể thực thi mã tùy ý trên máy chủ GitLab tự quản lý (self-managed) mà không cần đăng nhập
🔹 Lỗ hổng ảnh hưởng đến các phiên bản từ 7.0 phát hành năm 2014, tức khoảng 12 năm phiên bản
🔹 Một số bài đưa tin cho biết hiện chưa phát hiện trường hợp khai thác thực tế
Việc này liên quan gì đến giới crypto? Liên quan không hề nhỏ.
Nhiều dự án lưu trữ mã nguồn, tự động xây dựng và triển khai giao diện trên các pipeline CI/CD của GitLab tự quản lý. Pipeline thường chứa khóa triển khai, thông tin xác thực dịch vụ đám mây, đôi khi còn có cả khóa dùng để ký. Dù hợp đồng thông minh được kiểm toán kỹ đến đâu, nếu pipeline xây dựng bị can thiệp thì giao diện được triển khai có thể bị thay bằng phiên bản lừa đảo: URL giống nhau, giao diện giống nhau, chỉ khác ở nội dung yêu cầu ký hiện ra.
Vì vậy, quan điểm của tôi về đợt này là:
Các dự án cần làm ngay là nâng cấp, luân chuyển tất cả khóa trong pipeline, kiểm tra các bản ghi xây dựng gần đây, rồi công khai cho biết mình có bị ảnh hưởng hay không như CZ đã khuyến nghị.
Người dùng bình thường chúng ta có thể đọc kỹ nội dung cấp quyền và địa chỉ hợp đồng mỗi khi ký; không hiểu thì đừng ký. Đừng để tài sản lớn trong chiếc ví dùng để tương tác hằng ngày và hãy định kỳ thu hồi các quyền cấp không còn dùng nữa.
Ba bốn thành phần nền tảng liên tiếp gặp sự cố chỉ trong một tuần cho thấy bảo mật chưa bao giờ chỉ là một điểm đơn lẻ, mà là cả một chuỗi.
Trong số các dự án bạn đang dùng, dự án nào đã lên tiếng xác nhận môi trường lưu trữ mã nguồn và xây dựng không bị ảnh hưởng?
#安全 #GitLab #Web3安全 #Cảnh giác lừa đảo trong giới crypto
Hai ngày qua, giới bảo mật thực sự bận rộn. Sau lỗ hổng nghiêm trọng của PHP và vụ rò rỉ biến môi trường Railway, giờ đến lượt GitLab.
Theo các bài đưa tin của The Hacker News và nhiều hãng truyền thông về bảo mật khác:
🔹 GitLab phát hành bản vá khẩn cấp vào ngày 21/10 theo giờ Mỹ
🔹 Lỗ hổng đạt điểm CVSS 10.0, tức điểm tối đa
🔹 Kẻ tấn công có thể thực thi mã tùy ý trên máy chủ GitLab tự quản lý (self-managed) mà không cần đăng nhập
🔹 Lỗ hổng ảnh hưởng đến các phiên bản từ 7.0 phát hành năm 2014, tức khoảng 12 năm phiên bản
🔹 Một số bài đưa tin cho biết hiện chưa phát hiện trường hợp khai thác thực tế
Việc này liên quan gì đến giới crypto? Liên quan không hề nhỏ.
Nhiều dự án lưu trữ mã nguồn, tự động xây dựng và triển khai giao diện trên các pipeline CI/CD của GitLab tự quản lý. Pipeline thường chứa khóa triển khai, thông tin xác thực dịch vụ đám mây, đôi khi còn có cả khóa dùng để ký. Dù hợp đồng thông minh được kiểm toán kỹ đến đâu, nếu pipeline xây dựng bị can thiệp thì giao diện được triển khai có thể bị thay bằng phiên bản lừa đảo: URL giống nhau, giao diện giống nhau, chỉ khác ở nội dung yêu cầu ký hiện ra.
Vì vậy, quan điểm của tôi về đợt này là:
Các dự án cần làm ngay là nâng cấp, luân chuyển tất cả khóa trong pipeline, kiểm tra các bản ghi xây dựng gần đây, rồi công khai cho biết mình có bị ảnh hưởng hay không như CZ đã khuyến nghị.
Người dùng bình thường chúng ta có thể đọc kỹ nội dung cấp quyền và địa chỉ hợp đồng mỗi khi ký; không hiểu thì đừng ký. Đừng để tài sản lớn trong chiếc ví dùng để tương tác hằng ngày và hãy định kỳ thu hồi các quyền cấp không còn dùng nữa.
Ba bốn thành phần nền tảng liên tiếp gặp sự cố chỉ trong một tuần cho thấy bảo mật chưa bao giờ chỉ là một điểm đơn lẻ, mà là cả một chuỗi.
Trong số các dự án bạn đang dùng, dự án nào đã lên tiếng xác nhận môi trường lưu trữ mã nguồn và xây dựng không bị ảnh hưởng?
#安全 #GitLab #Web3安全 #Cảnh giác lừa đảo trong giới crypto