原标题：GitLab爆连线劫持漏洞，已准备修补

示意图，与新闻事件无关。

资安业者Imperva上周揭露Git专案仓库GitLab含有一连线劫持（Session△Hijacking）漏洞，将允许骇客劫持使用者连线时所使用的令牌（Token）。

Imperva安全研究人员Daniel△Svartman表示，他是在针对GitLab进行渗透测试时察觉了该漏洞。Svartman最先发现的是他在连结GitLab服务时于网址列上直接看到自己的令牌(下图，来源：Imperva)，因此，只要复制并贴上该令牌就能通过不同的机器或浏览器存取该帐号的各种服务。

进一步挖掘之后发现，GitLab赋予每个用户永久有效的私有连线令牌，就算是使用者已经登出也一样。

要窃取连线令牌有许多方法，包括中间人攻击（MITM）、暴力破解与资料隐码攻击（SQL△injections）等，一旦连线令牌被劫持，骇客将可存取使用者的帐号、非法购买商品、变更登入凭证或存取信用卡资讯。

Svartman认为，该漏洞让上述任一种手法都能窃取此一曝露在外的令牌，而且它的令牌只有20个字元，很容易被暴力破解，再加上它不会过期，因此在遭窃之后随时都能被利用。

Svartman在今年5月知会GitLab，GitLab则说他不是第一个反映此一威胁的人，并已于近日展开修补。

tags：

上一篇  下一篇

相关：

Arris数据机被爆含有多个漏洞，影响22万台装置

资安业者Nomotion本周揭露由美国通讯设备制造商Arris所生产的多款数据机各含不同的安全漏洞，允许骇客取得完整的装置权限。Nomotion在NVG589与NVG599两款数据机上所发现的漏洞为固定凭证漏洞，它们的帐号是remotessh

近50万心律调节器有漏洞，亚培释出安全更新

图片来源: St. Jude△Medical 亚培（Abbott）售出的近46.5万台美国老牌心律调节器被爆有安全漏洞，可能导致装置设定被改动，亚培已经释出更新并呼吁用户尽速安装。?这批有问题的心律调节器制造商为美国老牌医疗器材业

浏览器扩充漏洞可能导致资料外泄或用户曝光，Firefox、Chrome与Safari都受影响

示意图，与新闻事件无关。 研究人员发现Firefox、Safari及Chrome扩充程式机制出现漏洞，可能导致使用者的扩充程式被看光，致使以Tor或VPN匿名的用户身份曝光。?西班牙德乌斯托大学研究人员Iskander△Sanchez-Rola指

汽车的CAN协议遭爆安全漏洞，可让骇客关闭安全气囊或感应器

示意图，与新闻事件无关。 趋势科技于本月揭露，受到汽车制造商重用的控制器区域网络（Controller△Area△Network，CAN）协议含有一安全漏洞，可带来阻断服务攻击（DoS），而使车上的安全气囊或停车感应器失效。在

【2018资安趋势 2】14年零时差漏洞威胁大剖析，平均潜伏至少5年能暗中搞鬼

Pardee△RAND研究院教授Lillian△Ablon调查分析表示，零时差漏洞最多9.53年（存活率25%）才会被揭露，最少低于1.51年（存活率75%），大部分漏洞暗中潜伏期长达5到8年才曝光。图片来源／RAND△ 美国军方智库兰德公司