Gitlab mengalami masalah keamanan kedua dalam waktu kurang dari seminggu
Dalam waktu kurang dari seminggu Pengembang Gitlab harus mulai bekerja, Nah, beberapa hari yang lalu pembaruan korektif untuk GitLab Collaborative Development Platform 15.3.1, 15.2.3 dan 15.1.5 dirilis, yang menyelesaikan kerentanan kritis.
terdaftar di bawah CVE-2022-2884, kerentanan ini dapat memungkinkan pengguna yang diautentikasi dengan akses ke GitHub Import API menjalankan kode dari jarak jauh di server. Belum ada rincian operasional yang dirilis. Kerentanan diidentifikasi oleh peneliti keamanan sebagai bagian dari program karunia kerentanan HackerOne.
Sebagai solusinya, admin disarankan untuk menonaktifkan impor dari fitur GitHub (di antarmuka web GitLab: “Menu” -> “Admin” -> “Pengaturan” -> “Umum” -> “Kontrol visibilitas dan akses » -> «Impor sumber» -> nonaktifkan «GitHub»).
Setelah itu dan dalam waktu kurang dari seminggu GitLab Saya menerbitkan seri pembaruan korektif berikutnya untuk platform pengembangan kolaboratif mereka: 15.3.2, 15.2.4, dan 15.1.6, yang memperbaiki kerentanan kritis kedua.
terdaftar di bawah CVE-2022-2992, kerentanan ini memungkinkan pengguna yang diautentikasi untuk mengeksekusi kode jarak jauh di server. Seperti kerentanan CVE-2022-2884 yang diperbaiki seminggu yang lalu, ada masalah API baru untuk mengimpor data dari layanan GitHub. Kerentanan memanifestasikan dirinya, antara lain, dalam rilis 15.3.1, 15.2.3, dan 15.1.5, di mana kerentanan pertama dalam kode impor dari GitHub telah diperbaiki.
Belum ada rincian operasional yang dirilis. Kerentanan tersebut dikirimkan ke GitLab sebagai bagian dari program bounty kerentanan HackerOne, tetapi tidak seperti masalah sebelumnya, kerentanan itu diidentifikasi oleh kontributor lain.
Sebagai solusinya, administrator disarankan untuk menonaktifkan impor dari fitur GitHub (di antarmuka web GitLab: “Menu” -> “Admin” -> “Pengaturan” -> “Umum” -> “Kontrol visibilitas dan akses » -> «Impor sumber» -> nonaktifkan «GitHub»).
Selain itu, pembaruan yang diusulkan memperbaiki 14 kerentanan lainnya, dua di antaranya ditandai sebagai berbahaya, sepuluh memiliki tingkat keparahan sedang dan dua ditandai sebagai tidak berbahaya.
Berikut ini diakui sebagai berbahaya: kerentanan CVE-2022-2865, yang memungkinkan Anda untuk menambahkan kode JavaScript Anda sendiri ke halaman yang ditampilkan kepada pengguna lain melalui manipulasi label warna,
Ada kemungkinan untuk mengeksploitasi kerentanan dengan mengonfigurasi fitur warna label yang dapat menyebabkan XSS tersimpan yang memungkinkan penyerang melakukan tindakan sewenang-wenang atas nama korban di sisi klien.
Salah satu kerentanan lain yang diselesaikan dengan serangkaian koreksi baru, adalah CVE-2022-2527, yang memungkinkan untuk mengganti kontennya melalui bidang deskripsi pada timeline skala Insiden). Kerentanan tingkat keparahan menengah terutama terkait dengan penolakan potensi layanan.
Kurangnya validasi panjang pada deskripsi Cuplikan di GitLab CE/EE yang memengaruhi semua versi sebelum 15.1.6, semua versi dari 15.2 sebelum 15.2.4, semua versi dari 15.3 sebelum 15.3.2 memungkinkan penyerang yang diautentikasi untuk membuat cuplikan besar yang berbahaya yang, ketika diminta dengan atau tanpa autentikasi, menyebabkan beban berlebihan pada server, yang berpotensi menyebabkan penolakan layanan.
Dari kerentanan lainnya yang diselesaikan:
- Registri paket tidak sepenuhnya menghormati daftar izin IP grup, GitLab tidak mengautentikasi dengan benar terhadap beberapa Registri Paket ketika pembatasan alamat IP dikonfigurasi, memungkinkan penyerang yang telah memiliki token penyebaran yang valid akan menyalahgunakannya dari lokasi mana pun.
- Penyalahgunaan panggilan Gitaly.GetTreeEntries mengarah ke penolakan layanan, memungkinkan pengguna yang diautentikasi dan berwenang untuk menghabiskan sumber daya server dengan mengimpor proyek berbahaya.
- Kemungkinan permintaan HTTP arbitrer di .ipynb Notebook dengan tag bentuk berbahaya, yang memungkinkan penyerang mengeluarkan permintaan HTTP arbitrer.
- Penolakan layanan ekspresi reguler melalui input yang dibuat memungkinkan penyerang memicu penggunaan CPU yang tinggi melalui input buatan yang ditambahkan ke bidang pesan Konfirmasi.
- Pengungkapan informasi melalui referensi GFM sewenang-wenang yang diwakili dalam peristiwa timeline insiden
- Membaca konten repositori melalui fungsi LivePreview: Pengguna yang tidak berwenang dapat membaca konten repositori jika anggota proyek menggunakan tautan yang dibuat.
- Denial of Service melalui API saat membuat cabang: Penanganan data yang tidak tepat pada pembuatan cabang dapat digunakan untuk memicu penggunaan CPU yang tinggi.
- Penolakan layanan melalui pratinjau masalah
Akhirnya, jika Anda tertarik untuk mengetahui lebih banyak tentangnya, Anda dapat berkonsultasi dengan detailnya Di tautan berikut.