„Gitlab“ per mažiau nei savaitę patiria antrąją saugumo problemą
Mažiau nei per savaitę „Gitlab“ kūrėjai turėjo kibti į darbą, Na, prieš kelias dienas buvo išleisti korekciniai GitLab Collaborative Development Platform 15.3.1, 15.2.3 ir 15.1.5 naujinimai, kurie pašalino kritinį pažeidžiamumą.
išvardyti po CVE-2022-2884, šis pažeidžiamumas gali leisti autentifikuotam vartotojui pasiekti „GitHub Import“ API nuotoliniu būdu paleisti kodą serveryje. Jokių operatyvinių detalių kol kas neskelbiama. Saugumo tyrinėtojas nustatė pažeidžiamumą kaip „HackerOne“ pažeidžiamumo premijos programos dalį.
Kaip išeitis, administratoriui buvo patarta išjungti importavimą iš „GitHub“ funkcijos („GitLab“ žiniatinklio sąsajoje: „Meniu“ -> „Administratorius“ -> „Nustatymai“ -> „Bendra“ -> „Matomumas ir prieigos valdikliai » -> „Importuoti šaltinius“ -> išjungti „GitHub“).
Po to ir mažiau nei po savaitės GitLab Skelbiu kitą korekcinių atnaujinimų seriją jų bendradarbiavimo platformai: 15.3.2, 15.2.4 ir 15.1.6, kurios ištaiso antrąjį kritinį pažeidžiamumą.
išvardyti po CVE-2022-2992, šis pažeidžiamumas leidžia autentifikuotam vartotojui vykdyti kodą nuotoliniu būdu serveryje. Kaip ir CVE-2022-2884 pažeidžiamumas, kuris buvo ištaisytas prieš savaitę, yra nauja API problema importuojant duomenis iš „GitHub“ paslaugos. Pažeidžiamumas, be kita ko, pasireiškia 15.3.1, 15.2.3 ir 15.1.5 leidimuose, kuriuose buvo ištaisytas pirmasis importo iš GitHub kodo pažeidžiamumas.
Jokių operatyvinių detalių kol kas neskelbiama. Pažeidžiamumas buvo pateiktas „GitLab“ kaip „HackerOne“ pažeidžiamumo premijos programos dalis, tačiau, skirtingai nei ankstesnė problema, ją nustatė kitas bendradarbis.
Kaip problemos sprendimą, administratoriui rekomenduojama išjungti importavimą iš „GitHub“ funkcijos („GitLab“ žiniatinklio sąsajoje: „Meniu“ -> „Administratorius“ -> „Nustatymai“ -> „Bendra“ -> „Matomumas ir prieigos valdikliai » -> „Importuoti šaltinius“ -> išjungti „GitHub“).
Be to, siūlomi atnaujinimai ištaisė dar 14 pažeidžiamumų, iš kurių du pažymėti kaip pavojingi, dešimt – vidutinio sunkumo, o du – kaip nepavojingi.
Pavojingomis pripažįstamos: pažeidžiamumas CVE-2022-2865, leidžiantis pridėti savo JavaScript kodą į puslapius, rodomus kitiems vartotojams naudojant spalvų etiketes,
Buvo įmanoma išnaudoti pažeidžiamumą sukonfigūravus etiketės spalvos funkciją, kuri gali sukelti saugomą XSS, leidžiančią užpuolikams atlikti savavališkus veiksmus aukų vardu kliento pusėje.
Kitas pažeidžiamumas, kuris buvo pašalintas naudojant naują taisymų seriją, yra CVE-2022-2527, kuris leidžia pakeisti jo turinį aprašymo lauke Incidentų skalės laiko juostoje). Vidutinio sunkumo pažeidžiamumas pirmiausia yra susijęs su paslaugų atsisakymu.
Trūksta „GitLab CE/EE“ fragmentų aprašų ilgio patvirtinimo, turinčio įtakos visoms versijoms iki 15.1.6, visoms versijoms nuo 15.2 iki 15.2.4, visoms versijoms nuo 15.3 iki 15.3.2 leidžia autentifikuotam užpuolikui sukurti kenkėjiškai didelį fragmentą kurios, kai prašoma su autentifikavimu arba be jos, sukelia per didelę serverio apkrovą, dėl kurios gali būti atsisakyta teikti paslaugą.
Dėl kitų pažeidžiamumų kurios buvo išspręstos:
- Paketų registras nevisiškai laikosi grupės IP leidimo sąrašo, „GitLab“ netinkamai autentifikavo kai kuriuos paketų registrus, kai buvo sukonfigūruoti IP adreso apribojimai, todėl užpuolikas, jau turėjęs galiojantį diegimo prieigos raktą, netinkamai jį naudos iš bet kurios vietos.
- Piktnaudžiavimas „Gitaly.GetTreeEntries“ iškvietimais atsisako teikti paslaugą, todėl autentifikuotas ir įgaliotas vartotojas gali išnaudoti serverio išteklius importuojant kenkėjišką projektą.
- Galimos savavališkos HTTP užklausos .ipynb bloknote su kenkėjiškomis formų žymomis, kurios leidžia užpuolikui pateikti savavališkas HTTP užklausas.
- Reguliariojo posakio atsisakymas teikti paslaugą naudojant sukurtą įvestį leido užpuolikui suaktyvinti didelį procesoriaus naudojimą naudojant sukurtą įvestį, pridėtą lauke Patvirtinti pranešimą.
- Informacijos atskleidimas naudojant savavališkas GFM nuorodas, pateikiamas incidentų laiko juostos įvykiuose
- Skaityti saugyklos turinį naudojant „LivePreview“ funkciją: neįgaliotas vartotojas galėjo skaityti saugyklos turinį, jei projekto narys naudojo sukurtą nuorodą.
- Paslaugos atsisakymas naudojant API kuriant filialą: netinkamas duomenų tvarkymas kuriant filialą galėjo būti naudojamas norint suaktyvinti didelį procesoriaus naudojimą.
- Paslaugos atsisakymas per leidimo peržiūrą
Galiausiai, jei jus domina daugiau apie tai sužinoti, galite susipažinti su išsamia informacija Šioje nuorodoje.