Гитлаб пати од другог безбедносног проблема за мање од недељу дана
За мање од недељу дана Гитлаб програмери су морали да се баци на посао, Па, пре неколико дана су објављена корективна ажурирања за ГитЛаб Цоллаборативе Девелопмент Платформ 15.3.1, 15.2.3 и 15.1.5, која су решила критичну рањивост.
наведено под ЦВЕ-2022-2884, ова рањивост може омогућити аутентификованом кориснику приступ ГитХуб Импорт АПИ-ју даљински покренути код на серверу. Оперативни детаљи још нису објављени. Рањивост је идентификована од стране истраживача безбедности као део ХацкерОне-овог програма за награђивање рањивости.
Као решење, администратору је саветовано да онемогући увоз са ГитХуб функције (у ГитЛаб веб интерфејсу: „Мени“ -> „Администратор“ -> „Подешавања“ -> „Опште“ -> „Контроле видљивости и приступа » -> «Извори увоза» -> онемогућите «ГитХуб»).
После тога и за мање од недељу дана ГитЛаб Објављујем следећу серију корективних ажурирања за њихову платформу за заједнички развој: 15.3.2, 15.2.4 и 15.1.6, која поправља другу критичну рањивост.
наведено под ЦВЕ-2022-2992, ова рањивост омогућава аутентификованом кориснику да изврши код удаљено на серверу. Попут ЦВЕ-2022-2884 рањивости која је отклоњена пре недељу дана, постоји нови проблем са АПИ-јем за увоз података из услуге ГитХуб. Рањивост се манифестује, између осталог, у издањима 15.3.1, 15.2.3 и 15.1.5, у којима је исправљена прва рањивост у коду за увоз са ГитХуб-а.
Оперативни детаљи још нису објављени. Рањивост је послата ГитЛабу као део ХацкерОне-овог програма за награђивање рањивости, али за разлику од претходног издања, идентификовао ју је други сарадник.
Као решење, администратору се препоручује да онемогући увоз са ГитХуб функције (у ГитЛаб веб интерфејсу: „Мени“ -> „Администратор“ -> „Подешавања“ -> „Опште“ -> „Контроле видљивости и приступа » -> «Извори увоза» -> онемогућите «ГитХуб»).
Поред тога, предложене исправке поправљају још 14 рањивости, од којих су два означена као опасна, десет средњег степена тежине и два су означена као неопасна.
Следеће се препознаје као опасно: рањивост ЦВЕ-2022-2865, који вам омогућава да додате сопствени ЈаваСцрипт код на странице које се приказују другим корисницима кроз манипулацију ознакама у боји,
Било је могуће искористити рањивост конфигурисањем функције боје ознаке која би могла да доведе до ускладиштеног КССС-а који је омогућавао нападачима да изврше произвољне радње у име жртава на страни клијента.
Још једна од рањивости која је решена новом серијом исправки је ЦВЕ-2022-2527, који омогућава замену његовог садржаја кроз поље за опис на временској линији скале инцидената). Рањивости средње тежине првенствено се односе на потенцијал ускраћивања услуге.
Недостатак провере дужине описа исечака у ГитЛаб ЦЕ/ЕЕ који утиче на све верзије пре 15.1.6, све верзије од 15.2 пре 15.2.4, све верзије од 15.3 пре 15.3.2 омогућава аутентификованом нападачу да креира злонамерно велики исечак који, када се захтева са или без аутентификације, изазива превелико оптерећење на серверу, што потенцијално доводи до ускраћивања услуге.
Од осталих рањивости који су решени:
- Регистар пакета не поштује у потпуности листу дозвољених ИП адреса групе, ГитЛаб се није правилно аутентификовао у односу на неки регистар пакета када су конфигурисана ограничења ИП адреса, дозвољавајући нападачу који већ поседује важећи токен за примену да га злоупотреби са било које локације.
- Злоупотреба позива Гитали.ГетТрееЕнтриес доводи до ускраћивања услуге, дозвољавајући аутентификованом и овлашћеном кориснику да исцрпи ресурсе сервера увозом злонамерног пројекта.
- Могући произвољни ХТТП захтеви у .ипинб бележници са злонамерним ознакама обрасца, што омогућава нападачу да изда произвољне ХТТП захтеве.
- Ускраћивање услуге регуларном експресијом путем креираног уноса омогућило је нападачу да покрене високу употребу ЦПУ-а путем креираног уноса који је додат у поље за потврду поруке.
- Објављивање информација путем произвољних ГФМ референци представљених у догађајима на временској линији инцидента
- Читање садржаја спремишта путем функције ЛивеПревиев: Било је могуће да неовлашћени корисник прочита садржај спремишта ако је члан пројекта користио направљену везу.
- Ускраћивање услуге преко АПИ-ја приликом креирања гране: Неправилно руковање подацима приликом креирања гране је могло да се користи да изазове велику употребу ЦПУ-а.
- Одбијање услуге путем прегледа проблема
Коначно, ако сте заинтересовани да сазнате више о томе, можете се консултовати са детаљима У следећем линку.