Gitlab soffre di un secondo problema di sicurezza in meno di una settimana
In meno di una settimana Gli sviluppatori Gitlab hanno dovuto mettersi al lavoro, Ebbene, pochi giorni fa sono stati rilasciati gli aggiornamenti correttivi per GitLab Collaborative Development Platform 15.3.1, 15.2.3 e 15.1.5, che hanno risolto una vulnerabilità critica.
elencati sotto CVE-2022-2884, questa vulnerabilità potrebbe consentire a un utente autenticato di accedere all'API di importazione GitHub eseguire il codice in remoto su un server. Nessun dettaglio operativo è stato ancora rilasciato. La vulnerabilità è stata identificata da un ricercatore di sicurezza nell'ambito del programma di taglie di vulnerabilità di HackerOne.
Come soluzione alternativa, all'amministratore è stato consigliato di disabilitare l'importazione dalla funzione GitHub (nell'interfaccia web di GitLab: "Menu" -> "Admin" -> "Impostazioni" -> "Generale" -> "Visibilità e controlli di accesso » -> «Importa sorgenti» -> disabilita «GitHub»).
Dopo di che e in meno di una settimana GitLab Pubblico la prossima serie di aggiornamenti correttivi per la loro piattaforma di sviluppo collaborativo: 15.3.2, 15.2.4 e 15.1.6, che risolve la seconda vulnerabilità critica.
elencati sotto CVE-2022-2992, questa vulnerabilità consente a un utente autenticato di eseguire codice in remoto su un server. Come la vulnerabilità CVE-2022-2884 che è stata risolta una settimana fa, c'è un nuovo problema API per l'importazione dei dati dal servizio GitHub. La vulnerabilità si manifesta, tra l'altro, nelle versioni 15.3.1, 15.2.3 e 15.1.5, in cui è stata risolta la prima vulnerabilità nel codice di importazione da GitHub.
Nessun dettaglio operativo è stato ancora rilasciato. La vulnerabilità è stata inviata a GitLab come parte del programma di ricompensa della vulnerabilità di HackerOne, ma a differenza del problema precedente, è stata identificata da un altro collaboratore.
Come soluzione alternativa, si consiglia all'amministratore di disabilitare l'importazione dalla funzione GitHub (nell'interfaccia web di GitLab: "Menu" -> "Admin" -> "Impostazioni" -> "Generale" -> "Controlli di visibilità e accesso » -> «Importa sorgenti» -> disabilita «GitHub»).
Inoltre, gli aggiornamenti proposti risolvono altre 14 vulnerabilità, due delle quali sono contrassegnate come pericolose, dieci hanno un livello di gravità medio e due sono contrassegnate come non pericolose.
Sono riconosciuti pericolosi: la vulnerabilità CVE-2022-2865, che consente di aggiungere il proprio codice JavaScript alle pagine visualizzate ad altri utenti attraverso la manipolazione di etichette a colori,
È stato possibile sfruttare una vulnerabilità configurando la funzione del colore dell'etichetta che potrebbe portare a XSS archiviato che consentiva agli aggressori di eseguire azioni arbitrarie per conto delle vittime sul lato client.
Un'altra delle vulnerabilità che è stata risolta con la nuova serie di correzioni è il CVE-2022-2527, che permette di sostituirne il contenuto tramite il campo di descrizione sulla sequenza temporale della scala dell'incidente). Le vulnerabilità di media gravità sono principalmente legate al potenziale di negazione del servizio.
Mancanza di convalida della lunghezza sulle descrizioni degli snippet in GitLab CE/EE che interessa tutte le versioni precedenti alla 15.1.6, tutte le versioni dalla 15.2 precedenti alla 15.2.4, tutte le versioni dalla 15.3 precedenti alla 15.3.2 consentono a un utente malintenzionato autenticato di creare uno snippet dannoso di grandi dimensioni che, quando richiesto con o senza autenticazione, provoca un carico eccessivo sul server, portando potenzialmente a un denial of service.
Delle altre vulnerabilità che sono stati risolti:
- Il registro dei pacchetti non rispetta completamente l'elenco di indirizzi IP consentiti del gruppo, GitLab non si autenticava correttamente rispetto ad alcuni registri dei pacchetti quando sono state configurate le restrizioni dell'indirizzo IP, consentendo a un utente malintenzionato che già possedeva un token di distribuzione valido di utilizzarlo in modo improprio da qualsiasi posizione.
- L'abuso delle chiamate Gitaly.GetTreeEntries porta a un denial of service, consentendo a un utente autenticato e autorizzato di esaurire le risorse del server importando un progetto dannoso.
- Possibili richieste HTTP arbitrarie in .ipynb Notebook con tag modulo dannosi, che consentono a un utente malintenzionato di inviare richieste HTTP arbitrarie.
- La negazione del servizio con espressioni regolari tramite input predisposto ha consentito a un utente malintenzionato di attivare un utilizzo elevato della CPU tramite un input predisposto aggiunto al campo del messaggio di conferma.
- Divulgazione delle informazioni tramite riferimenti arbitrari alla GFM rappresentati negli eventi della sequenza temporale degli incidenti
- Leggere il contenuto del repository tramite la funzione LivePreview: era possibile per un utente non autorizzato leggere il contenuto del repository se un membro del progetto utilizzava un collegamento predisposto.
- Denial of Service tramite API durante la creazione di una filiale: la gestione impropria dei dati durante la creazione della filiale potrebbe essere stata utilizzata per attivare un utilizzo elevato della CPU.
- Denial of Service tramite l'anteprima del problema
Infine, se sei interessato a saperne di più, puoi consultare i dettagli nel seguente link