এক সপ্তাহেরও কম সময়ের মধ্যে গিটল্যাবে দ্বিতীয় গুরুতর দুর্বলতা প্রকাশ করা হয়েছিল

এক সপ্তাহেরও কম সময়ে গিটল্যাব ডেভেলপারদের কাজে নামতে হয়েছে, ঠিক আছে, কয়েকদিন আগে গিটল্যাব কোলাবোরেটিভ ডেভেলপমেন্ট প্ল্যাটফর্ম 15.3.1, 15.2.3 এবং 15.1.5-এর সংশোধনমূলক আপডেট প্রকাশিত হয়েছিল, যা একটি গুরুতর দুর্বলতার সমাধান করেছে।

অধীনে তালিকাভুক্ত CVE-2022-2884, এই দুর্বলতা একজন প্রমাণীকৃত ব্যবহারকারীকে GitHub Import API-এ অ্যাক্সেসের অনুমতি দিতে পারে একটি সার্ভারে দূরবর্তীভাবে কোড চালান। কোনো অপারেশনাল বিস্তারিত এখনো প্রকাশ করা হয়নি। হ্যাকারওনের দুর্বলতা বাউন্টি প্রোগ্রামের অংশ হিসাবে নিরাপত্তা গবেষক দ্বারা দুর্বলতা চিহ্নিত করা হয়েছিল।

একটি সমাধান হিসাবে, প্রশাসককে গিটহাব বৈশিষ্ট্য থেকে আমদানি নিষ্ক্রিয় করার পরামর্শ দেওয়া হয়েছিল (গিটল্যাব ওয়েব ইন্টারফেসে: "মেনু" -> "অ্যাডমিন" -> "সেটিংস" -> "সাধারণ" -> "দৃশ্যমানতা এবং অ্যাক্সেস নিয়ন্ত্রণ » -> "সূত্র আমদানি করুন" -> "GitHub" নিষ্ক্রিয় করুন)।

তার পরে এবং এক সপ্তাহেরও কম সময়ের মধ্যে GitLab আমি সংশোধনমূলক আপডেটের পরবর্তী সিরিজ প্রকাশ করছি তাদের সহযোগী উন্নয়ন প্ল্যাটফর্মের জন্য: 15.3.2, 15.2.4, এবং 15.1.6, যা দ্বিতীয় জটিল দুর্বলতা ঠিক করে।

অধীনে তালিকাভুক্ত CVE-2022-2992, এই দুর্বলতা একজন প্রমাণীকৃত ব্যবহারকারীকে কোড চালানোর অনুমতি দেয় দূরবর্তীভাবে একটি সার্ভারে। CVE-2022-2884 দুর্বলতার মতো যা এক সপ্তাহ আগে ঠিক করা হয়েছিল, GitHub পরিষেবা থেকে ডেটা আমদানি করার জন্য একটি নতুন API সমস্যা রয়েছে। 15.3.1, 15.2.3 এবং 15.1.5 রিলিজে, অন্যান্য জিনিসগুলির মধ্যে দুর্বলতা নিজেকে প্রকাশ করে, যেখানে গিটহাব থেকে আমদানি কোডে প্রথম দুর্বলতা সংশোধন করা হয়েছিল।

কোনো অপারেশনাল বিস্তারিত এখনো প্রকাশ করা হয়নি। হ্যাকারওনের দুর্বলতা বাউন্টি প্রোগ্রামের অংশ হিসাবে দুর্বলতাটি গিটল্যাবে জমা দেওয়া হয়েছিল, তবে আগের ইস্যুটির বিপরীতে, এটি অন্য অবদানকারী দ্বারা চিহ্নিত করা হয়েছিল।

একটি সমাধান হিসাবে, প্রশাসককে গিটহাব বৈশিষ্ট্য থেকে আমদানি নিষ্ক্রিয় করার পরামর্শ দেওয়া হয় (গিটল্যাব ওয়েব ইন্টারফেসে: "মেনু" -> "অ্যাডমিন" -> "সেটিংস" -> "সাধারণ" -> "দৃশ্যমানতা এবং অ্যাক্সেস নিয়ন্ত্রণ » -> "সূত্র আমদানি করুন" -> "GitHub" নিষ্ক্রিয় করুন)।

উপরন্তু, প্রস্তাবিত আপডেটগুলি আরও 14টি দুর্বলতা ঠিক করে, যার মধ্যে দুটি বিপজ্জনক হিসাবে চিহ্নিত, দশটির একটি মাঝারি তীব্রতা স্তর রয়েছে এবং দুটি বিপজ্জনক নয় হিসাবে চিহ্নিত করা হয়েছে৷

নিম্নলিখিতগুলি বিপজ্জনক হিসাবে স্বীকৃত: দুর্বলতা CVE-2022-2865, যা আপনাকে আপনার নিজস্ব জাভাস্ক্রিপ্ট কোড যোগ করতে দেয় রঙের লেবেলগুলির কারসাজির মাধ্যমে অন্যান্য ব্যবহারকারীদের কাছে প্রদর্শিত পৃষ্ঠাগুলিতে,

লেবেল রঙের বৈশিষ্ট্যটি কনফিগার করার মাধ্যমে একটি দুর্বলতাকে কাজে লাগানো সম্ভব ছিল যা সঞ্চিত XSS এর দিকে পরিচালিত করতে পারে যা আক্রমণকারীদের ক্লায়েন্টের পক্ষ থেকে শিকারের পক্ষে স্বেচ্ছাচারী ক্রিয়া সম্পাদন করতে দেয়। 

সংশোধনের নতুন সিরিজের সাথে সমাধান করা দুর্বলতার আরেকটি হল, CVE-2022-2527, যা বর্ণনা ক্ষেত্রের মাধ্যমে এর বিষয়বস্তু প্রতিস্থাপন করা সম্ভব করে তোলে ঘটনার স্কেল টাইমলাইনে)। মাঝারি তীব্রতার দুর্বলতাগুলি প্রাথমিকভাবে পরিষেবা সম্ভাবনা অস্বীকার করার সাথে সম্পর্কিত।

গিটল্যাব CE/EE-তে স্নিপেট বর্ণনার দৈর্ঘ্যের বৈধতার অভাব 15.1.6-এর আগের সমস্ত সংস্করণকে প্রভাবিত করে, 15.2-এর আগে 15.2.4 থেকে সমস্ত সংস্করণ, 15.3-এর আগের 15.3.2 থেকে সমস্ত সংস্করণ একটি প্রমাণীকৃত আক্রমণকারীকে একটি বড় মাপের তৈরি করতে দেয় যে, যখন প্রমাণীকরণ সহ বা ছাড়া অনুরোধ করা হয়, সার্ভারে অত্যধিক লোড সৃষ্টি করে, সম্ভাব্যভাবে পরিষেবা অস্বীকারের দিকে পরিচালিত করে।

অন্যান্য দুর্বলতা যেগুলি সমাধান করা হয়েছিল:

• প্যাকেট রেজিস্ট্রি গোষ্ঠীর আইপি অনুমতি তালিকাকে সম্পূর্ণরূপে সম্মান করে না, আইপি ঠিকানা সীমাবদ্ধতাগুলি কনফিগার করার সময় গিটল্যাব কিছু প্যাকেজ রেজিস্ট্রির বিরুদ্ধে সঠিকভাবে প্রমাণীকরণ করছিল না, যে আক্রমণকারীর কাছে ইতিমধ্যেই একটি বৈধ স্থাপনার টোকেন রয়েছে তারা যে কোনও অবস্থান থেকে এটির অপব্যবহার করবে।
• Gitaly.GetTreeEntries কলগুলিকে অপব্যবহার করা পরিষেবা অস্বীকারের দিকে পরিচালিত করে, যা একজন প্রমাণীকৃত এবং অনুমোদিত ব্যবহারকারীকে একটি দূষিত প্রকল্প আমদানি করে সার্ভারের সংস্থান নিষ্কাশন করতে দেয়৷
• দূষিত ফর্ম ট্যাগ সহ .ipynb নোটবুকে সম্ভাব্য স্বেচ্ছাচারী HTTP অনুরোধ, যা একজন আক্রমণকারীকে নির্বিচারে HTTP অনুরোধ ইস্যু করার অনুমতি দেয়।
• ক্রাফটেড ইনপুটের মাধ্যমে পরিষেবার নিয়মিত অভিব্যক্তি অস্বীকার একটি আক্রমণকারীকে নিশ্চিত বার্তা ক্ষেত্রে যোগ করা একটি কারুকাজ করা ইনপুটের মাধ্যমে উচ্চ CPU ব্যবহার ট্রিগার করার অনুমতি দেয়।
• ঘটনার টাইমলাইন ইভেন্টগুলিতে উপস্থাপন করা নির্বিচারে GFM রেফারেন্সের মাধ্যমে তথ্য প্রকাশ
• LivePreview ফাংশনের মাধ্যমে সংগ্রহস্থলের বিষয়বস্তু পড়ুন: একজন অননুমোদিত ব্যবহারকারীর পক্ষে সংগ্রহস্থলের বিষয়বস্তু পড়া সম্ভব ছিল যদি কোনো প্রকল্প সদস্য একটি তৈরি করা লিঙ্ক ব্যবহার করেন।
• একটি শাখা তৈরি করার সময় API-এর মাধ্যমে পরিষেবার অস্বীকৃতি: উচ্চ CPU ব্যবহার ট্রিগার করতে শাখা তৈরিতে অনুপযুক্ত ডেটা হ্যান্ডলিং ব্যবহার করা যেতে পারে।
• ইস্যু পূর্বরূপের মাধ্যমে পরিষেবা অস্বীকার করা

পরিশেষে, যদি আপনি এটি সম্পর্কে আরও জানতে আগ্রহী হন, তাহলে আপনি বিস্তারিত জানতে পারেন নীচের লিঙ্কে।