פגיעות קריטית שנייה נחשפה ב-GitLab תוך פחות משבוע

תוך פחות משבוע מפתחי Gitlab נאלצו להתחיל לעבוד, ובכן, לפני מספר ימים שוחררו העדכונים המתקנים עבור GitLab Collaborative Development Platform 15.3.1, 15.2.3 ו-15.1.5, אשר פתרו פגיעות קריטית.

המפורטים מתחת CVE-2022-2884, פגיעות זו עלולה לאפשר למשתמש מאומת עם גישה ל- GitHub Import API להריץ קוד מרחוק על שרת. טרם נמסרו פרטים תפעוליים. הפגיעות זוהתה על ידי חוקר אבטחה כחלק מתוכנית הפגיעות של HackerOne.

כדרך לעקיפת הבעיה, הומלץ למנהל המערכת להשבית את תכונת הייבוא ​​מ-GitHub (בממשק האינטרנט של GitLab: "תפריט" -> "אדמין" -> "הגדרות" -> "כללי" -> "בקרות נראות וגישה » -> «ייבוא ​​מקורות» -> השבת את «GitHub»).

לאחר מכן ובתוך פחות משבוע GitLab אני מפרסם את סדרת העדכונים המתקנת הבאה עבור פלטפורמת הפיתוח השיתופי שלהם: 15.3.2, 15.2.4 ו-15.1.6, אשר מתקן את הפגיעות הקריטית השנייה.

המפורטים מתחת CVE-2022-2992, פגיעות זו מאפשרת למשתמש מאומת להפעיל קוד מרחוק בשרת. כמו הפגיעות של CVE-2022-2884 שתוקנה לפני שבוע, יש בעיה חדשה ב-API לייבוא ​​נתונים משירות GitHub. הפגיעות מתבטאת בין היתר במהדורות 15.3.1, 15.2.3 ו-15.1.5, בהן תוקנה הפגיעות הראשונה בקוד הייבוא ​​מ-GitHub.

טרם נמסרו פרטים תפעוליים. הפגיעות הוגשה ל-GitLab כחלק מתוכנית ה-vulnerability bounty של HackerOne, אך בניגוד לגיליון הקודם, היא זוהתה על ידי תורם אחר.

כדרך לעקיפת הבעיה, מומלץ למנהל המערכת להשבית את תכונת הייבוא ​​מ-GitHub (בממשק האינטרנט של GitLab: "תפריט" -> "אדמין" -> "הגדרות" -> "כללי" -> "בקרות נראות וגישה » -> «ייבוא ​​מקורות» -> השבת את «GitHub»).

בנוסף, העדכונים המוצעים מתקנים 14 פגיעויות נוספות, שניים מהם מסומנים כמסוכנים, עשרה בדרגת חומרה בינונית ושניים מסומנים כלא מסוכן.

הדברים הבאים מוכרים כמסוכנים: פגיעות CVE-2022-2865, המאפשר לך להוסיף קוד JavaScript משלך לדפים המוצגים למשתמשים אחרים באמצעות מניפולציה של תוויות צבע,

ניתן היה לנצל פגיעות על ידי הגדרת תכונת צבע התווית שעלולה להוביל ל-XSS מאוחסן המאפשר לתוקפים לבצע פעולות שרירותיות בשם הקורבנות בצד הלקוח. 

עוד אחת מהחולשות שנפתרה עם סדרת התיקונים החדשה, היא CVE-2022-2527, המאפשר להחליף את תוכנו דרך שדה התיאור על ציר הזמן של סולם האירועים). פגיעות בחומרה בינונית קשורות בעיקר לפוטנציאל של מניעת שירות.

חוסר אימות אורך על תיאורי Snippet ב-GitLab CE/EE המשפיע על כל הגרסאות לפני 15.1.6, כל הגרסאות מ-15.2 לפני 15.2.4, כל הגרסאות מ-15.3 לפני 15.3.2 מאפשרות לתוקף מאומת ליצור קטע קוד גדול בזדון שכאשר מתבקש עם או בלי אימות, גורם לעומס מופרז על השרת, שעלול להוביל למניעת שירות.

משאר הפגיעות שנפתרו:

• רישום החבילות אינו מכבד באופן מלא את רשימת ההיתרים של ה-IP של הקבוצה, GitLab לא ביצע אימות כראוי מול רישום חבילות כלשהו כאשר הגבלות כתובות IP הוגדרו, מה שמאפשר לתוקף שכבר היה ברשותו אסימון פריסה חוקי ישתמש בו לרעה מכל מיקום.
• שימוש לרעה בשיחות Gitaly.GetTreeEntries מוביל למניעת שירות, המאפשר למשתמש מאומת ומורשה למצות את משאבי השרת על ידי ייבוא ​​פרויקט זדוני.
• בקשות HTTP שרירותיות אפשריות ב-.ipynb Notebook עם תגי טופס זדוניים, המאפשרים לתוקף להנפיק בקשות HTTP שרירותיות.
• מניעת שירות של ביטוי רגיל באמצעות קלט בעל מבנה אפשרה לתוקף להפעיל שימוש גבוה ב-CPU באמצעות קלט בעל מבנה שנוסף לשדה Confirm message.
• חשיפת מידע באמצעות הפניות שרירותיות של GFM המיוצגות באירועי ציר זמן של אירועים
• קרא תוכן מאגר באמצעות פונקציית LivePreview: זה היה אפשרי עבור משתמש לא מורשה לקרוא תוכן מאגר אם חבר בפרויקט השתמש בקישור בעל מבנה.
• מניעת שירות באמצעות API בעת יצירת סניף: טיפול לא תקין בנתונים ביצירת סניף יכול היה לשמש כדי להפעיל שימוש גבוה ב-CPU.
• מניעת שירות באמצעות תצוגה מקדימה של בעיה

לבסוף, אם אתה מעוניין לדעת יותר על כך, תוכל להתייעץ עם הפרטים בקישור הבא.