සතියකට අඩු කාලයකදී GitLab හි දෙවන බරපතල අවදානමක් අනාවරණය විය

ගිට්ලැබ්

Gitlab සතියකට අඩු කාලයකදී දෙවන ආරක්ෂක ගැටලුවකින් පීඩා විඳිති

සතියකට අඩු කාලයකදී Gitlab සංවර්ධකයින්ට වැඩට බැසීමට සිදු විය, හොඳයි, දින කිහිපයකට පෙර GitLab සහයෝගීතා සංවර්ධන වේදිකාව 15.3.1, 15.2.3 සහ 15.1.5 සඳහා නිවැරදි යාවත්කාලීන නිකුත් කරන ලද අතර, එය තීරණාත්මක අවදානමක් විසඳන ලදී.

යටතේ ලැයිස්තුගත කර ඇත CVE-2022-2884, මෙම අවදානම GitHub Import API වෙත ප්‍රවේශය සහිත සත්‍යාපිත පරිශීලකයෙකුට ඉඩ දිය හැක. සේවාදායකයක දුරස්ථව කේතය ධාවනය කරන්න. මෙහෙයුම් විස්තර තවමත් නිකුත් කර නොමැත. HackerOne හි vulnerability bounty වැඩසටහනේ කොටසක් ලෙස ආරක්ෂක පර්යේෂකයෙකු විසින් මෙම අවදානම හඳුනා ගන්නා ලදී.

විසඳුමක් ලෙස, GitHub විශේෂාංගයෙන් ආයාත කිරීම අක්‍රිය කිරීමට පරිපාලකයාට උපදෙස් දෙන ලදී (GitLab වෙබ් අතුරු මුහුණතේ: "මෙනුව" -> "පරිපාලක" -> "සැකසීම්" -> "සාමාන්‍ය" -> "දෘෂ්‍යතාව සහ ප්‍රවේශ පාලන » -> "ආයාත මූලාශ්ර" -> "GitHub" අක්රිය කරන්න).

ඊට පසු සහ සතියකට අඩු කාලයකදී GitLab මම ඊළඟ නිවැරදි කිරීමේ යාවත්කාලීන මාලාව ප්‍රකාශයට පත් කරමි ඔවුන්ගේ සහයෝගිතා සංවර්ධන වේදිකාව සඳහා: 15.3.2, 15.2.4, සහ 15.1.6, දෙවන තීරනාත්මක අවදානම නිවැරදි කරයි.

යටතේ ලැයිස්තුගත කර ඇත CVE-2022-2992, මෙම අවදානම සත්‍යාපනය කළ පරිශීලකයෙකුට කේතය ක්‍රියාත්මක කිරීමට ඉඩ දෙයි සේවාදායකයක දුරස්ථව. සතියකට පෙර සවි කරන ලද CVE-2022-2884 අවදානම මෙන්, GitHub සේවාවෙන් දත්ත ආයාත කිරීම සඳහා නව API ගැටලුවක් තිබේ. GitHub වෙතින් ආයාත කේතයේ පළමු අනාරක්‍ෂිත බව ස්ථීර කරන ලද 15.3.1, 15.2.3, සහ 15.1.5 නිකුතු තුළ, වෙනත් දේ අතර, අවදානම ප්‍රකාශ වේ.

මෙහෙයුම් විස්තර තවමත් නිකුත් කර නොමැත. HackerOne හි vulnerability bounty වැඩසටහනේ කොටසක් ලෙස මෙම අවදානම GitLab වෙත ඉදිරිපත් කරන ලද නමුත් පෙර නිකුතුව මෙන් නොව, එය වෙනත් දායකයෙකු විසින් හඳුනා ගන්නා ලදී.

විසඳුමක් ලෙස, පරිපාලකයා GitHub විශේෂාංගයෙන් ආයාත කිරීම අබල කිරීමට නිර්දේශ කරනු ලැබේ (GitLab වෙබ් අතුරු මුහුණතේ: "මෙනුව" -> "පරිපාලක" -> "සැකසීම්" -> "සාමාන්‍ය" -> "දෘෂ්‍යතාව සහ ප්‍රවේශ පාලන » -> "ආයාත මූලාශ්ර" -> "GitHub" අක්රිය කරන්න).

එසේම, යෝජිත යාවත්කාලීනයන් තවත් දුර්වලතා 14ක් නිවැරදි කරයි, ඉන් දෙකක් අනතුරුදායක ලෙස සලකුණු කර ඇති අතර, දහයකට මධ්‍යම බරපතල මට්ටමක් ඇති අතර දෙකක් භයානක නොවන ලෙස සලකුණු කර ඇත.

පහත සඳහන් දේ භයානක ලෙස හඳුනාගෙන ඇත: අවදානම CVE-2022-2865, එය ඔබට ඔබේම JavaScript කේතය එක් කිරීමට ඉඩ සලසයි වර්ණ ලේබල් හැසිරවීම හරහා අනෙකුත් පරිශීලකයින්ට දර්ශනය වන පිටු වෙත,

සේවාදායක පාර්ශවයේ වින්දිතයින් වෙනුවෙන් ප්‍රහාරකයන්ට අත්තනෝමතික ක්‍රියා සිදු කිරීමට ඉඩ සලසන ගබඩා XSS වෙත ගෙන යා හැකි ලේබල් වර්ණ විශේෂාංගය වින්‍යාස කිරීමෙන් අවදානමක් ප්‍රයෝජනයට ගැනීමට හැකි විය. 

නව නිවැරදි කිරීම් මාලාව සමඟ විසඳන ලද තවත් එක් දුර්වලතාවක් වන්නේ CVE-2022-2527, විස්තර ක්ෂේත්‍රය හරහා එහි අන්තර්ගතය ප්‍රතිස්ථාපනය කිරීමට හැකි වේ සිදුවීම් පරිමාණ කාලරාමුව මත). මධ්‍යම තීව්‍රතා දුර්වලතා මූලික වශයෙන් සේවා විභවය ප්‍රතික්ෂේප කිරීම හා සම්බන්ධ වේ.

15.1.6 ට පෙර සියලුම අනුවාද වලට බලපාන GitLab CE/EE හි Snippet විස්තර වල දිග වලංගු භාවය නොමැතිකම, 15.2 සිට 15.2.4 ට පෙර සියලුම අනුවාද, 15.3 ට පෙර 15.3.2 සිට සියලුම අනුවාද වලට බලපාන සත්‍යාපනය කළ ප්‍රහාරකයෙකුට ද්වේෂ සහගත ලෙස විශාල snip එකක් නිර්මාණය කිරීමට ඉඩ සලසයි. එනම්, සත්‍යාපනය සමඟ හෝ රහිතව ඉල්ලා සිටින විට, සේවාදායකය මත අධික බරක් ඇති කරන අතර, එය සේවාව ප්‍රතික්ෂේප කිරීමට හේතු විය හැක.

අනෙකුත් දුර්වලතා වලින් එය විසඳා ඇත:

  • පැකට් රෙජිස්ට්‍රිය සමූහයේ IP අවසර ලැයිස්තුවට සම්පූර්ණයෙන්ම ගරු නොකරයි, IP ලිපින සීමා කිරීම් වින්‍යාස කර ඇති විට GitLab සමහර පැකේජ රෙජිස්ට්‍රියට එරෙහිව නිසි ලෙස සත්‍යාපනය කර නොතිබුණි, දැනටමත් වලංගු යෙදවුම් ටෝකනයක් ඇති ප්‍රහාරකයෙකුට ඕනෑම ස්ථානයක සිට එය අනිසි ලෙස භාවිතා කිරීමට ඉඩ සලසයි.
  • Gitaly.GetTreeEntries ඇමතුම් අනිසි ලෙස භාවිතා කිරීම සේවාව ප්‍රතික්ෂේප කිරීමකට මග පාදයි, අනිෂ්ට ව්‍යාපෘතියක් ආයාත කිරීමෙන් සේවාදායක සම්පත් අවසන් කිරීමට සත්‍යාපනය කළ සහ බලයලත් පරිශීලකයෙකුට ඉඩ සලසයි.
  • ප්‍රහාරකයෙකුට අත්තනෝමතික HTTP ඉල්ලීම් නිකුත් කිරීමට ඉඩ සලසන අනිෂ්ට පෝරම ටැග් සහිත .ipynb Notebook හි ඇති විය හැකි අත්තනෝමතික HTTP ඉල්ලීම්.
  • සාදන ලද ආදානය හරහා නිතිපතා ප්‍රකාශන ප්‍රතික්ෂේප කිරීමේ සේවාව ප්‍රහාරකයෙකුට තහවුරු කිරීමේ පණිවිඩ ක්ෂේත්‍රයට එක් කරන ලද සාදන ලද ආදානයක් හරහා ඉහළ CPU භාවිතය අවුලුවාලීමට ඉඩ සලසයි.
  • අත්තනෝමතික GFM යොමු හරහා තොරතුරු හෙළිදරව් කිරීම සිද්ධි කාලරේඛා සිදුවීම් නියෝජනය කරයි
  • LivePreview ශ්‍රිතය හරහා ගබඩා අන්තර්ගතය කියවන්න: ව්‍යාපෘති සාමාජිකයෙකු විසින් සාදන ලද සබැඳියක් භාවිතා කළේ නම්, අනවසර පරිශීලකයෙකුට ගබඩා අන්තර්ගතය කියවීමට හැකි විය.
  • ශාඛාවක් නිර්මාණය කිරීමේදී API හරහා සේවාව ප්‍රතික්ෂේප කිරීම: ඉහළ CPU භාවිතය අවුලුවාලීම සඳහා ශාඛා නිර්මාණයේදී වැරදි දත්ත හැසිරවීම භාවිතා කළ හැක.
  • නිකුත් කිරීමේ පෙරදසුන හරහා සේවාව ප්‍රතික්ෂේප කිරීම

අවසාන වශයෙන්, ඔබ ඒ ගැන වැඩි විස්තර දැන ගැනීමට උනන්දුවක් දක්වන්නේ නම් ඔබට විස්තර විමසිය හැකිය පහත සබැඳියේ.


ලිපියේ අන්තර්ගතය අපගේ මූලධර්මවලට අනුකූල වේ කතුවැකි ආචාර ධර්ම. දෝෂයක් වාර්තා කිරීමට ක්ලික් කරන්න මෙන්න.

අදහස් පළ කිරීමට ප්රථම වන්න

ඔබේ අදහස තබන්න

ඔබේ ඊ-මේල් ලිපිනය පළ කරනු නොලැබේ. අවශ්ය ක්ෂේත්ර දක්වා ඇති ලකුණ *

*

*

  1. දත්ත සඳහා වගකිව යුතු: මිගෙල් ඇන්ජල් ගැටන්
  2. දත්තවල අරමුණ: SPAM පාලනය කිරීම, අදහස් කළමනාකරණය.
  3. නීත්‍යානුකූලභාවය: ඔබේ කැමැත්ත
  4. දත්ත සන්නිවේදනය: නෛතික බැඳීමකින් හැර දත්ත තෙවන පාර්ශවයකට සන්නිවේදනය නොකෙරේ.
  5. දත්ත ගබඩා කිරීම: ඔක්සෙන්ටස් නෙට්වර්ක්ස් (EU) විසින් සත්කාරකත්වය දක්වන දත්ත සමුදාය
  6. අයිතිවාසිකම්: ඕනෑම වේලාවක ඔබට ඔබේ තොරතුරු සීමා කිරීමට, නැවත ලබා ගැනීමට සහ මකා දැමීමට හැකිය.