일주일도 안되어 Gitlab에 두 번째 보안 문제가 발생합니다.
일주일도 안되어 Gitlab 개발자는 작업에 착수해야 했습니다. 글쎄, 며칠 전에 GitLab 공동 개발 플랫폼 15.3.1, 15.2.3 및 15.1.5에 대한 수정 업데이트가 릴리스되어 치명적인 취약점을 해결했습니다.
아래에 나열된 CVE-2022-2884, 이 취약점으로 인해 인증된 사용자가 GitHub 가져오기 API에 액세스할 수 있습니다. 서버에서 원격으로 코드를 실행합니다. 운영 세부 사항은 아직 공개되지 않았습니다. 보안 연구원은 이 취약점을 HackerOne의 취약점 현상금 프로그램의 일부로 식별했습니다.
해결 방법으로 관리자는 GitHub 기능에서 가져오기를 비활성화하는 것이 좋습니다(GitLab 웹 인터페이스: "메뉴" -> "관리자" -> "설정" -> "일반" -> "가시성 및 액세스 제어 » -> «소스 가져오기» -> «GitHub» 비활성화).
그 후 그리고 일주일도 안되어 GitLab 수정 업데이트의 다음 시리즈를 게시합니다. 공동 개발 플랫폼용: 15.3.2, 15.2.4 및 15.1.6으로 두 번째 치명적인 취약점을 수정합니다.
아래에 나열된 CVE-2022-2992, 이 취약점을 통해 인증된 사용자가 코드를 실행할 수 있습니다. 서버에서 원격으로. 일주일 전에 수정된 CVE-2022-2884 취약점과 마찬가지로 GitHub 서비스에서 데이터를 가져오기 위한 새로운 API 문제가 있습니다. 취약점은 무엇보다도 릴리스 15.3.1, 15.2.3 및 15.1.5에서 나타납니다. 이 릴리스에서는 GitHub에서 가져오기 코드의 첫 번째 취약점이 수정되었습니다.
운영 세부 사항은 아직 공개되지 않았습니다. 취약점은 HackerOne의 취약점 현상금 프로그램의 일부로 GitLab에 제출되었지만 이전 문제와 달리 다른 기여자가 식별했습니다.
해결 방법으로 관리자는 GitHub에서 가져오기 기능을 비활성화하는 것이 좋습니다(GitLab 웹 인터페이스: "메뉴" -> "관리자" -> "설정" -> "일반" -> "가시성 및 액세스 제어 » -> «소스 가져오기» -> «GitHub» 비활성화).
또한, 제안된 업데이트는 14개의 추가 취약점을 수정합니다., 그 중 XNUMX개는 위험으로 표시되고 XNUMX개는 중간 심각도 수준이고 XNUMX개는 위험하지 않은 것으로 표시됩니다.
다음은 위험한 것으로 인식됩니다. 취약성 고유한 JavaScript 코드를 추가할 수 있는 CVE-2022-2865 색상 라벨을 조작하여 다른 사용자에게 표시되는 페이지로,
공격자가 클라이언트 측에서 피해자를 대신하여 임의의 작업을 수행할 수 있도록 하는 저장된 XSS로 이어질 수 있는 레이블 색상 기능을 구성하여 취약점을 악용할 수 있었습니다.
새로운 일련의 수정으로 해결된 또 다른 취약점 중 하나는 CVE-2022-2527, 설명 필드를 통해 내용을 대체할 수 있습니다. 사건 규모 타임라인에서). 중간 심각도 취약점은 주로 서비스 거부 가능성과 관련이 있습니다.
15.1.6 이전의 모든 버전, 15.2 이전의 모든 버전, 15.2.4 이전의 15.3부터 모든 버전에 영향을 미치는 GitLab CE/EE의 스니펫 설명에 대한 길이 유효성 검사가 없으면 인증된 공격자가 악의적으로 큰 스니펫을 생성할 수 있습니다. 인증 여부에 관계없이 요청하면 서버에 과도한 로드가 발생하여 서비스 거부가 발생할 수 있습니다.
다른 취약점 중 해결 된 것 :
- 패킷 레지스트리는 그룹의 IP 허용 목록을 완전히 준수하지 않습니다. IP 주소 제한이 구성되었을 때 GitLab이 일부 패키지 레지스트리에 대해 제대로 인증하지 않았기 때문에 이미 유효한 배포 토큰을 소유한 공격자가 모든 위치에서 이를 오용할 수 있습니다.
- Gitaly.GetTreeEntries 호출을 남용하면 서비스 거부가 발생하여 인증되고 권한이 부여된 사용자가 악성 프로젝트를 가져와 서버 리소스를 고갈시킬 수 있습니다.
- 공격자가 임의의 HTTP 요청을 발행할 수 있도록 하는 악성 양식 태그가 있는 .ipynb 노트북에서 가능한 임의 HTTP 요청.
- 조작된 입력을 통한 정규식 서비스 거부를 통해 공격자는 확인 메시지 필드에 추가된 조작된 입력을 통해 높은 CPU 사용량을 트리거할 수 있습니다.
- 사고 일정 이벤트에 표시되는 임의의 GFM 참조를 통한 정보 공개
- LivePreview 기능을 통해 저장소 콘텐츠 읽기: 프로젝트 구성원이 제작된 링크를 사용하는 경우 권한이 없는 사용자가 저장소 콘텐츠를 읽을 수 있었습니다.
- 분기 생성 시 API를 통한 서비스 거부: 분기 생성 시 부적절한 데이터 처리가 CPU 사용량을 높이는 데 사용될 수 있습니다.
- 문제 미리보기를 통한 서비스 거부
마지막으로, 그것에 대해 더 알고 싶다면 자세한 내용을 참조하십시오. 다음 링크에서.