Gitlab mazāk nekā nedēļas laikā cieš no otras drošības problēmas
Mazāk nekā nedēļas laikā Gitlab izstrādātājiem bija jāsāk strādāt, Pirms dažām dienām tika izlaisti GitLab Collaborative Development Platform 15.3.1, 15.2.3 un 15.1.5 koriģējošie atjauninājumi, kas atrisināja kritisko ievainojamību.
uzskaitīti zem CVE-2022-2884, šī ievainojamība var ļaut autentificētam lietotājam piekļūt GitHub importēšanas API attālināti palaist kodu serverī. Sīkāka informācija par operatīvo darbību vēl nav izpausta. Ievainojamību atklāja drošības pētnieks kā daļu no HackerOne ievainojamības atlīdzības programmas.
Kā risinājums administratoram tika ieteikts atspējot importēšanu no GitHub funkcijas (GitLab tīmekļa saskarnē: "Izvēlne" -> "Administrators" -> "Iestatījumi" -> "Vispārīgi" -> "Redzamības un piekļuves vadīklas » -> "Importēt avotus" -> atspējot "GitHub").
Pēc tam un nepilnas nedēļas laikā GitLab Es publicēju nākamo korektīvo atjauninājumu sēriju viņu sadarbības izstrādes platformai: 15.3.2, 15.2.4 un 15.1.6, kas novērš otro kritisko ievainojamību.
uzskaitīti zem CVE-2022-2992, šī ievainojamība ļauj autentificētam lietotājam izpildīt kodu attālināti serverī. Tāpat kā CVE-2022-2884 ievainojamība, kas tika novērsta pirms nedēļas, ir jauna API problēma datu importēšanai no pakalpojuma GitHub. Ievainojamība cita starpā izpaužas 15.3.1, 15.2.3 un 15.1.5 laidienos, kuros tika novērsta pirmā ievainojamība importēšanas kodā no GitHub.
Sīkāka informācija par operatīvo darbību vēl nav izpausta. Ievainojamība tika iesniegta GitLab kā daļa no HackerOne ievainojamības atlīdzības programmas, taču atšķirībā no iepriekšējās problēmas to identificēja cits līdzautors.
Kā risinājums administratoram ir ieteicams atspējot importēšanu no GitHub funkcijas (GitLab tīmekļa saskarnē: "Izvēlne" -> "Administrators" -> "Iestatījumi" -> "Vispārīgi" -> "Redzamības un piekļuves vadīklas » -> "Importēt avotus" -> atspējot "GitHub").
Turklāt, ierosinātie atjauninājumi novērš vēl 14 ievainojamības, no kuriem divi ir atzīmēti kā bīstami, desmit ir vidēja smaguma pakāpe un divi ir atzīmēti kā nebīstami.
Par bīstamām tiek atzītas: ievainojamība CVE-2022-2865, kas ļauj pievienot savu JavaScript kodu uz lapām, kas tiek rādītas citiem lietotājiem, manipulējot ar krāsu etiķetēm,
Bija iespējams izmantot ievainojamību, konfigurējot etiķetes krāsu funkciju, kas varētu novest pie saglabātā XSS, kas ļāva uzbrucējiem veikt patvaļīgas darbības klienta pusē cietušo vārdā.
Vēl viena no ievainojamībām, kas tika novērsta ar jauno labojumu sēriju, ir CVE-2022-2527, kas ļauj aizstāt tā saturu, izmantojot apraksta lauku incidentu skalas laika skalā). Vidējas nopietnības ievainojamības galvenokārt ir saistītas ar pakalpojuma atteikuma potenciālu.
Garuma validācijas trūkums Snippet aprakstos GitLab CE/EE, kas ietekmē visas versijas, kas vecākas par 15.1.6, visas versijas no 15.2 līdz 15.2.4, visas versijas no 15.3 līdz 15.3.2 ļauj autentificētam uzbrucējam izveidot ļaunprātīgi lielu fragmentu. kas, ja tiek pieprasīts ar vai bez autentifikācijas, rada pārmērīgu servera slodzi, kas var izraisīt pakalpojuma atteikumu.
Par citām ievainojamībām kas tika atrisināti:
- Pakešu reģistrs pilnībā neievēro grupas IP atļauju sarakstu, GitLab neveica pareizu autentifikāciju pret dažiem pakotņu reģistriem, kad tika konfigurēti IP adreses ierobežojumi, ļaujot uzbrucējam, kuram jau bija derīgs izvietošanas marķieris, to ļaunprātīgi izmantot no jebkuras vietas.
- Gitaly.GetTreeEntries zvanu ļaunprātīga izmantošana noved pie pakalpojuma atteikuma, ļaujot autentificētam un autorizētam lietotājam izsmelt servera resursus, importējot ļaunprātīgu projektu.
- Iespējami patvaļīgi HTTP pieprasījumi .ipynb piezīmju grāmatiņā ar ļaunprātīgiem veidlapu tagiem, kas ļauj uzbrucējam izdot patvaļīgus HTTP pieprasījumus.
- Regulāras izteiksmes pakalpojuma atteikums, izmantojot izstrādātu ievadi, ļāva uzbrucējam aktivizēt lielu CPU lietojumu, izmantojot izstrādātu ievadi, kas pievienota laukam Apstiprināt ziņojumu.
- Informācijas izpaušana, izmantojot patvaļīgas GFM atsauces, kas attēlotas incidentu laika skalas notikumos
- Repozitorija satura lasīšana, izmantojot funkciju LivePreview: neautorizēts lietotājs varēja lasīt repozitorija saturu, ja projekta dalībnieks izmantoja izveidotu saiti.
- Pakalpojuma atteikums, izmantojot API, veidojot filiāli: nepareiza datu apstrāde filiāles izveides laikā varētu būt izmantota, lai aktivizētu augstu CPU lietojumu.
- Pakalpojuma atteikums, izmantojot problēmas priekšskatījumu
Visbeidzot, ja jūs interesē uzzināt vairāk par to, varat iepazīties ar informāciju Šajā saitē.