गिटलॅबला एका आठवड्यापेक्षा कमी कालावधीत दुसऱ्या सुरक्षा समस्येचा सामना करावा लागतो
एका आठवड्यापेक्षा कमी वेळात गिटलॅब विकासकांना कामावर उतरावे लागले आहे, ठीक आहे, काही दिवसांपूर्वी GitLab सहयोगी विकास प्लॅटफॉर्म 15.3.1, 15.2.3 आणि 15.1.5 साठी सुधारात्मक अद्यतने जारी करण्यात आली होती, ज्याने गंभीर असुरक्षिततेचे निराकरण केले.
अंतर्गत सूचीबद्ध CVE-2022-2884, ही भेद्यता प्रमाणीकृत वापरकर्त्यास GitHub Import API मध्ये प्रवेश करण्यास अनुमती देऊ शकते सर्व्हरवर दूरस्थपणे कोड चालवा. अद्याप कोणतेही ऑपरेशनल तपशील जाहीर केले गेले नाहीत. HackerOne च्या असुरक्षितता बक्षीस कार्यक्रमाचा भाग म्हणून सुरक्षा संशोधकाने असुरक्षितता ओळखली.
उपाय म्हणून, प्रशासकाला गिटहब वैशिष्ट्यावरून आयात अक्षम करण्याचा सल्ला देण्यात आला (गिटलॅब वेब इंटरफेसमध्ये: “मेनू” -> “प्रशासक” -> “सेटिंग्ज” -> “सामान्य” -> “दृश्यता आणि प्रवेश नियंत्रणे » -> "स्रोत आयात करा" -> "GitHub" अक्षम करा).
त्यानंतर आणि एका आठवड्यापेक्षा कमी वेळात गिटॅब मी सुधारात्मक अद्यतनांची पुढील मालिका प्रकाशित करतो त्यांच्या सहयोगी विकास प्लॅटफॉर्मसाठी: 15.3.2, 15.2.4, आणि 15.1.6, जे दुसरी गंभीर भेद्यता निश्चित करते.
अंतर्गत सूचीबद्ध CVE-2022-2992, ही भेद्यता प्रमाणीकृत वापरकर्त्यास कोड कार्यान्वित करण्यास अनुमती देते सर्व्हरवर दूरस्थपणे. एका आठवड्यापूर्वी निश्चित केलेल्या CVE-2022-2884 भेद्यतेप्रमाणे, GitHub सेवेमधून डेटा आयात करण्यासाठी एक नवीन API समस्या आहे. असुरक्षा इतर गोष्टींबरोबरच, 15.3.1, 15.2.3 आणि 15.1.5 रिलीझमध्ये प्रकट होते, ज्यामध्ये GitHub वरून आयात कोडमधील पहिली भेद्यता निश्चित केली गेली होती.
अद्याप कोणतेही ऑपरेशनल तपशील जाहीर केले गेले नाहीत. HackerOne च्या असुरक्षितता बाउंटी प्रोग्रामचा भाग म्हणून असुरक्षितता GitLab ला सबमिट केली गेली होती, परंतु मागील समस्येच्या विपरीत, ती दुसर्‍या योगदानकर्त्याद्वारे ओळखली गेली होती.
उपाय म्हणून, प्रशासकाला गिटहब वैशिष्ट्यातून आयात अक्षम करण्याची शिफारस केली जाते (गिटलॅब वेब इंटरफेसमध्ये: “मेनू” -> “प्रशासक” -> “सेटिंग्ज” -> “सामान्य” -> “दृश्यता आणि प्रवेश नियंत्रणे » -> "स्रोत आयात करा" -> "GitHub" अक्षम करा).
तसेच, प्रस्तावित अद्यतने आणखी 14 असुरक्षा निश्चित करतात, त्यापैकी दोन धोकादायक म्हणून चिन्हांकित आहेत, दहामध्ये मध्यम तीव्रता पातळी आहे आणि दोन धोकादायक नाही म्हणून चिन्हांकित आहेत.
खालील धोकादायक म्हणून ओळखले जातात: असुरक्षा CVE-2022-2865, जो तुम्हाला तुमचा स्वतःचा JavaScript कोड जोडण्याची परवानगी देतो कलर लेबल्सच्या हाताळणीद्वारे इतर वापरकर्त्यांना प्रदर्शित केलेल्या पृष्ठांवर,
लेबल कलर वैशिष्ट्य कॉन्फिगर करून असुरक्षिततेचे शोषण करणे शक्य होते ज्यामुळे संचयित XSS होऊ शकते ज्यामुळे हल्लेखोरांना क्लायंटच्या बाजूने पीडितांच्या वतीने अनियंत्रित क्रिया करण्याची परवानगी मिळते.
दुरुस्त्यांच्या नवीन मालिकेने सोडवलेल्या असुरक्षांपैकी आणखी एक आहे CVE-2022-2527, जे वर्णन फील्डद्वारे त्याची सामग्री पुनर्स्थित करणे शक्य करते घटना स्केल टाइमलाइनवर). मध्यम तीव्रता भेद्यता प्रामुख्याने सेवा संभाव्य नाकारण्याशी संबंधित आहेत.
GitLab CE/EE मधील स्निपेट वर्णनावरील लांबी प्रमाणीकरणाचा अभाव 15.1.6 पूर्वीच्या सर्व आवृत्त्यांवर, 15.2 पूर्वीच्या 15.2.4 च्या सर्व आवृत्त्या, 15.3 पूर्वीच्या 15.3.2 पासूनच्या सर्व आवृत्त्या एका प्रमाणीकृत आक्रमणकर्त्याला मोठ्या प्रमाणात masnipp तयार करण्यास अनुमती देतात. जे, जेव्हा प्रमाणीकरणासह किंवा त्याशिवाय विनंती केली जाते, तेव्हा सर्व्हरवर जास्त भार पडतो, ज्यामुळे सेवा नाकारण्याची शक्यता असते.
इतर असुरक्षा ज्याचे निराकरण झाले:
- पॅकेट रेजिस्ट्री गटाच्या IP अनुमती सूचीचा पूर्णपणे सन्मान करत नाही, IP पत्ता निर्बंध कॉन्फिगर केले असताना GitLab काही पॅकेज रजिस्ट्री विरुद्ध योग्यरित्या प्रमाणीकरण करत नव्हते, ज्यामुळे आधीच वैध उपयोजन टोकन असलेल्या आक्रमणकर्त्याला कोणत्याही ठिकाणाहून त्याचा गैरवापर होईल.
- Gitaly.GetTreeEntries कॉल्सचा गैरवापर केल्याने सेवा नाकारली जाते, प्रमाणीकृत आणि अधिकृत वापरकर्त्याला दुर्भावनापूर्ण प्रकल्प आयात करून सर्व्हर संसाधने संपवण्याची परवानगी मिळते.
- दुर्भावनापूर्ण फॉर्म टॅगसह .ipynb नोटबुकमध्ये संभाव्य अनियंत्रित HTTP विनंत्या, जे आक्रमणकर्त्याला अनियंत्रित HTTP विनंत्या जारी करण्यास अनुमती देतात.
- क्राफ्ट केलेल्या इनपुटद्वारे नियमित अभिव्यक्ती सेवेला नकार दिल्याने आक्रमणकर्त्याला पुष्टी संदेश फील्डमध्ये जोडलेल्या क्राफ्ट केलेल्या इनपुटद्वारे उच्च CPU वापर ट्रिगर करण्याची अनुमती दिली.
- घटनेच्या टाइमलाइन इव्हेंटमध्ये प्रस्तुत अनियंत्रित GFM संदर्भांद्वारे माहिती प्रकटीकरण
- LivePreview फंक्शनद्वारे रेपॉजिटरी सामग्री वाचा: जर एखाद्या प्रकल्प सदस्याने तयार केलेली लिंक वापरली असेल तर अनधिकृत वापरकर्त्यासाठी भांडार सामग्री वाचणे शक्य होते.
- शाखा तयार करताना API द्वारे सेवा नाकारणे: उच्च CPU वापर ट्रिगर करण्यासाठी शाखा निर्मितीवर अयोग्य डेटा हाताळणी वापरली जाऊ शकते.
- समस्या पूर्वावलोकनाद्वारे सेवा नाकारणे
शेवटी, जर तुम्हाला त्याबद्दल अधिक जाणून घेण्यात स्वारस्य असेल तर तुम्ही तपशीलांचा सल्ला घेऊ शकता पुढील लिंकवर