Gitlab lider af endnu et sikkerhedsproblem på mindre end en uge
På mindre end en uge Gitlab-udviklere har måttet gå i gang, Nå, for et par dage siden blev de korrigerende opdateringer til GitLab Collaborative Development Platform 15.3.1, 15.2.3 og 15.1.5 frigivet, hvilket løste en kritisk sårbarhed.
anført under CVE-2022-2884, denne sårbarhed kan tillade en godkendt bruger med adgang til GitHub Import API fjernkøre kode på en server. Der er endnu ikke offentliggjort nogen operationelle detaljer. Sårbarheden blev identificeret af en sikkerhedsforsker som en del af HackerOnes sårbarhedsprogram.
Som en løsning blev administratoren anbefalet at deaktivere importen fra GitHub-funktionen (i GitLab-webgrænsefladen: "Menu" -> "Admin" -> "Indstillinger" -> "Generelt" -> "Synlighed og adgangskontrol » -> «Importer kilder» -> deaktiver «GitHub»).
Derefter og om mindre end en uge GitLab Jeg udgiver den næste serie af korrigerende opdateringer for deres kollaborative udviklingsplatform: 15.3.2, 15.2.4 og 15.1.6, som løser den anden kritiske sårbarhed.
anført under CVE-2022-2992, denne sårbarhed tillader en godkendt bruger at udføre kode eksternt på en server. Ligesom CVE-2022-2884-sårbarheden, der blev rettet for en uge siden, er der et nyt API-problem til import af data fra GitHub-tjenesten. Sårbarheden viser sig blandt andet i udgivelser 15.3.1, 15.2.3 og 15.1.5, hvor den første sårbarhed i importkoden fra GitHub blev rettet.
Der er endnu ikke offentliggjort nogen operationelle detaljer. Sårbarheden blev indsendt til GitLab som en del af HackerOnes sårbarhedsbounty-program, men i modsætning til det forrige nummer blev den identificeret af en anden bidragyder.
Som en løsning anbefales det, at administratoren deaktiverer importen fra GitHub-funktionen (i GitLab-webgrænsefladen: "Menu" -> "Admin" -> "Indstillinger" -> "Generelt" -> "Synlighed og adgangskontrol » -> «Importer kilder» -> deaktiver «GitHub»).
Derudover foreslåede opdateringer løser yderligere 14 sårbarheder, hvoraf to er markeret som farlige, ti har et middelsværhedsniveau og to er markeret som ikke farlige.
Følgende er anerkendt som farlige: sårbarhed CVE-2022-2865, som giver dig mulighed for at tilføje din egen JavaScript-kode til de sider, der vises til andre brugere gennem manipulation af farveetiketter,
Det var muligt at udnytte en sårbarhed ved at konfigurere etiketfarvefunktionen, der kunne føre til lagret XSS, der tillod angribere at udføre vilkårlige handlinger på vegne af ofre på klientsiden.
En anden af de sårbarheder, der blev løst med den nye serie af rettelser, er CVE-2022-2527, som gør det muligt at erstatte dets indhold gennem beskrivelsesfeltet på Incident-skalaens tidslinje). Mellem sværhedsgradssårbarheder er primært relateret til lammelsesangrebspotentiale.
Manglende længdevalidering på Snippet-beskrivelser i GitLab CE/EE, der påvirker alle versioner før 15.1.6, alle versioner fra 15.2 før 15.2.4, alle versioner fra 15.3 før 15.3.2 tillader en godkendt angriber at oprette et ondsindet stort uddrag der, når det anmodes om med eller uden godkendelse, forårsager overdreven belastning på serveren, hvilket potentielt kan føre til et lammelsesangreb.
Af de andre sårbarheder der blev løst:
- Pakkeregistret respekterer ikke fuldt ud gruppens IP-tilladelsesliste, GitLab autentificerede ikke korrekt mod nogle pakkeregistreringer, da IP-adressebegrænsninger blev konfigureret, hvilket tillader en angriber, der allerede havde et gyldigt implementeringstoken, vil misbruge det fra et hvilket som helst sted.
- Misbrug af Gitaly.GetTreeEntries-opkald fører til lammelsesangreb, hvilket giver en godkendt og autoriseret bruger mulighed for at udtømme serverressourcer ved at importere et ondsindet projekt.
- Mulige vilkårlige HTTP-anmodninger i .ipynb Notebook med ondsindede form-tags, som tillader en angriber at udstede vilkårlige HTTP-anmodninger.
- Regulære udtryk denial of service via udformet input tillod en angriber at udløse høj CPU-brug via en udformet input tilføjet til feltet Bekræft meddelelse.
- Afsløring af oplysninger gennem vilkårlige GFM-referencer repræsenteret i hændelser på tidslinjen
- Læs lagerindhold via LivePreview-funktion: Det var muligt for en uautoriseret bruger at læse lagerindhold, hvis et projektmedlem brugte et lavet link.
- Denial of Service via API ved oprettelse af en filial: Ukorrekt datahåndtering ved oprettelse af filial kunne have været brugt til at udløse højt CPU-brug.
- Denial of service via forhåndsvisning af spørgsmål
Endelig, hvis du er interesseret i at vide mere om det, kan du se detaljerne I det følgende link.