GitLab身份认证绕过漏洞 (CVE-2023-4998) 安全风险通告

Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建Web服务。

本仓库所涉及的技术、思路和工具仅供安全技术研究，任何人不得将其用于非授权渗透测试，不得将其用于非法用途和盈利，否则后果自行承担。

IT之家1 月 16 日消息，GitLab 日前为社区版（CE）及企业版（EE）推出 16.7.2、16.6.4 及 16.5.6 安全更新，重点修复了 CVSS 风险评分达到 10 分的密码重置漏洞 CVE-2023-7028。

必修漏洞，就是必须修复、不可拖延的高危漏洞。

早在2015年，Google project zero就发布了关于DCOM DCE/RPC本地NTLM Relay的研究，其中提到了使用COM对象及OLE Packager并举了个例子实现任意文件写入。

本报告通过六张实战推演图，结合安全能力者、第三方机构和安全运营者的观点，展示了攻击方从攻击面分析、边界突破、横向渗透到靶标攻陷的攻击过程，防守方从基础保护、强化保护到协同保护的纵深防御体系，描绘了大型网络安全攻防实战演习的全景对象和步骤推演。

2022年1月，国务院印发《“十四五”数字经济发展规划》（以下简称“规划”），明确了“十四五”时期推动数字经济健康发展的指导思想、基本原则、发展目标、重点任务和保障措施。规划指出，数字经济是继农业经济、工业经济之后的主要经济形态，是以数据资源为关键要素，以现代信息网络为主要载体，以信息通信技术融合应用、全要素数字化转型为重要推动力，促进公平与效率更加统一的新经济形态。

当前，以数字经济为代表的新经济成为经济增长新引擎，数据作为核心生产要素成为了基础战略资源，数据安全的基础保障作用也日益凸显。伴随而来的数据安全风险与日俱增，数据泄露、数据滥用等安全事件频发，为个人隐私、企业商业秘密、国家重要数据等带来了严重的安全隐患。近年来，国家对数据安全与个人信息保护进行了前瞻性战略部署，开展了系统性的顶层设计。《中华人民共和国数据安全法》于2021年9月1日正式施行，《中华人

微软方面目前，微软已经确认他们的一名员工受到了Lapsus$黑客组织的入侵，使得威胁参与者可以访问和窃取他们的部分源代码。威胁参与者将收集有价值的数据并通过NordVPN连接将其泄露以隐藏其位置，同时对受害者的基础设施进行破坏性攻击以触发事件响应程序。目前，该公司在停职了受感染用户的活动会话并暂停其帐户的同时将该问题通知了提供商。

在过去的几个月里，Lapsus$针对三星、英伟达、沃达丰、育碧和美客多等许多大公司发起了网络攻击。近日，Lapsus$又通过其Telegram发布截图，声称入侵了微软的Azure DevOps服务器，获取了包含Bing、Cortana和其他各种内部项目的源代码，此外，还入侵了身份识别与访问管理(IAM)解决方案的领先提供商Okta，获取了访问Okta的管理控制台和客户数据的权限。