Gitlab pati od drugog sigurnosnog problema za manje od nedelju dana
Za manje od nedelju dana Gitlab programeri su se morali baciti na posao, Pa, prije nekoliko dana izašla su korektivna ažuriranja za GitLab Collaborative Development Platform 15.3.1, 15.2.3 i 15.1.5, koja su riješila kritičnu ranjivost.
navedeno pod CVE-2022-2884, ova ranjivost bi mogla omogućiti autentificiranom korisniku pristup GitHub Import API-ju daljinski pokrenuti kod na serveru. Još nisu objavljeni nikakvi operativni detalji. Ranjivost je identifikovana od strane istraživača bezbednosti kao deo HackerOne-ovog programa za nagrađivanje ranjivosti.
Kao zaobilazno rešenje, administratoru je savetovano da onemogući uvoz sa GitHub funkcije (u GitLab veb interfejsu: “Meni” -> “Admin” -> “Settings” -> “General” -> “Vidljivost i kontrola pristupa » -> «Izvori uvoza» -> onemogućite «GitHub»).
Nakon toga i za manje od nedelju dana GitLab Objavljujem sljedeću seriju korektivnih ažuriranja za njihovu platformu za kolaborativni razvoj: 15.3.2, 15.2.4 i 15.1.6, koja popravlja drugu kritičnu ranjivost.
navedeno pod CVE-2022-2992, ova ranjivost omogućava autentificiranom korisniku da izvrši kod udaljeno na serveru. Poput ranjivosti CVE-2022-2884 koja je otklonjena prije nedelju dana, postoji novi problem API-ja za uvoz podataka sa usluge GitHub. Ranjivost se manifestuje, između ostalog, u izdanjima 15.3.1, 15.2.3 i 15.1.5, u kojima je ispravljena prva ranjivost u kodu za uvoz sa GitHub-a.
Još nisu objavljeni nikakvi operativni detalji. Ranjivost je dostavljena GitLabu kao dio HackerOne-ovog programa nagrađivanja ranjivosti, ali za razliku od prethodnog izdanja, identificirao ju je drugi saradnik.
Kao zaobilazno rešenje, administratoru se preporučuje da onemogući uvoz sa GitHub funkcije (u GitLab web interfejsu: “Meni” -> “Admin” -> “Settings” -> “General” -> “Vidljivost i kontrola pristupa » -> «Izvori uvoza» -> onemogućite «GitHub»).
Takođe, predložena ažuriranja popravljaju još 14 ranjivosti, od kojih su dva označena kao opasna, deset imaju srednju težinu, a dva su označena kao neopasna.
Sljedeće se prepoznaje kao opasno: ranjivost CVE-2022-2865, koji vam omogućava da dodate sopstveni JavaScript kod na stranice koje se prikazuju drugim korisnicima kroz manipulaciju oznakama u boji,
Bilo je moguće iskoristiti ranjivost konfiguriranjem značajke boje oznake koja bi mogla dovesti do pohranjenog XSS-a koji je omogućavao napadačima da izvode proizvoljne radnje u ime žrtava na strani klijenta.
Još jedna od ranjivosti koja je riješena novom serijom korekcija je CVE-2022-2527, koji omogućava zamjenu njegovog sadržaja kroz polje za opis na vremenskoj liniji skale incidenata). Ranjivosti srednje težine prvenstveno se odnose na potencijal uskraćivanja usluge.
Nedostatak validacije dužine opisa isječaka u GitLab CE/EE koji utiče na sve verzije prije 15.1.6, sve verzije od 15.2 prije 15.2.4, sve verzije od 15.3 prije do 15.3.2 omogućava autentificiranom napadaču da kreira zlonamjerno veliki isječak koji, kada se traži sa ili bez autentifikacije, uzrokuje preveliko opterećenje na serveru, što može dovesti do uskraćivanja usluge.
Od ostalih ranjivosti koji su riješeni:
- Registar paketa ne poštuje u potpunosti listu dopuštenih IP adresa grupe, GitLab se nije pravilno autentifikovao u odnosu na neki registar paketa kada su konfigurisana ograničenja IP adresa, što omogućava napadaču koji je već posjedovao važeći token za implementaciju da ga zloupotrebi sa bilo koje lokacije.
- Zloupotreba poziva Gitaly.GetTreeEntries dovodi do uskraćivanja usluge, omogućavajući autentificiranom i ovlaštenom korisniku da iscrpi resurse servera uvozom zlonamjernog projekta.
- Mogući proizvoljni HTTP zahtjevi u .ipynb bilježnici sa zlonamjernim oznakama forme, što omogućava napadaču da izda proizvoljne HTTP zahtjeve.
- Uskraćivanje usluge regularnim izrazom putem kreiranog unosa omogućilo je napadaču da pokrene visoku upotrebu CPU-a putem kreiranog unosa dodanog u polje za potvrdu poruke.
- Objavljivanje informacija putem proizvoljnih GFM referenci predstavljenih u događajima na vremenskoj liniji incidenta
- Čitanje sadržaja spremišta putem funkcije LivePreview: Bilo je moguće da neovlašteni korisnik pročita sadržaj spremišta ako je član projekta koristio napravljenu vezu.
- Uskraćivanje usluge putem API-ja prilikom kreiranja grane: Nepravilno rukovanje podacima prilikom kreiranja grane moglo bi se koristiti za pokretanje velike upotrebe CPU-a.
- Odbijanje usluge putem pregleda problema
Konačno, ako vas zanima više o tome, možete se obratiti detaljima Na sledećem linku.