Gitlab lider av ett andra säkerhetsproblem på mindre än en vecka
På mindre än en vecka Gitlab-utvecklare har varit tvungna att börja jobba, Nåväl, för några dagar sedan släpptes de korrigerande uppdateringarna för GitLab Collaborative Development Platform 15.3.1, 15.2.3 och 15.1.5, vilket löste en kritisk sårbarhet.
listade under CVE-2022-2884, denna sårbarhet kan tillåta en autentiserad användare med åtkomst till GitHub Import API fjärrkör kod på en server. Inga operativa detaljer har ännu släppts. Sårbarheten identifierades av en säkerhetsforskare som en del av HackerOnes sårbarhetsprogram.
Som en lösning rekommenderades administratören att inaktivera importen från GitHub-funktionen (i GitLabs webbgränssnitt: "Meny" -> "Admin" -> "Inställningar" -> "Allmänt" -> "Synlighet och åtkomstkontroller » -> «Importera källor» -> inaktivera «GitHub»).
Efter det och om mindre än en vecka GitLab Jag publicerar nästa serie av korrigerande uppdateringar för deras utvecklingsplattform för samarbete: 15.3.2, 15.2.4 och 15.1.6, som fixar den andra kritiska sårbarheten.
listade under CVE-2022-2992, denna sårbarhet tillåter en autentiserad användare att köra kod på distans på en server. Liksom CVE-2022-2884-sårbarheten som åtgärdades för en vecka sedan, finns det ett nytt API-problem för att importera data från GitHub-tjänsten. Sårbarheten visar sig bland annat i releaser 15.3.1, 15.2.3 och 15.1.5, där den första sårbarheten i importkoden från GitHub fixades.
Inga operativa detaljer har ännu släppts. Sårbarheten skickades till GitLab som en del av HackerOnes sårbarhetsbounty-program, men till skillnad från föregående nummer identifierades den av en annan bidragsgivare.
Som en lösning rekommenderas administratören att inaktivera importen från GitHub-funktionen (i GitLabs webbgränssnitt: "Meny" -> "Admin" -> "Inställningar" -> "Allmänt" -> "Synlighet och åtkomstkontroller » -> «Importera källor» -> inaktivera «GitHub»).
Dessutom, föreslagna uppdateringar fixar ytterligare 14 sårbarheter, varav två är markerade som farliga, tio har en medelsvårhetsgrad och två är markerade som ofarliga.
Följande anses vara farliga: sårbarhet CVE-2022-2865, som låter dig lägga till din egen JavaScript-kod till sidorna som visas för andra användare genom manipulering av färgetiketter,
Det var möjligt att utnyttja en sårbarhet genom att konfigurera etikettfärgsfunktionen som kunde leda till lagrad XSS som gjorde det möjligt för angripare att utföra godtyckliga åtgärder på uppdrag av offer på klientsidan.
En annan av sårbarheterna som löstes med den nya serien av korrigeringar är CVE-2022-2527, vilket gör det möjligt att ersätta dess innehåll genom beskrivningsfältet på Incident-skalans tidslinje). Medellånga sårbarheter är främst relaterade till överbelastningspotential.
Brist på längdvalidering av Snippet-beskrivningar i GitLab CE/EE som påverkar alla versioner före 15.1.6, alla versioner från 15.2 före 15.2.4, alla versioner från 15.3 före 15.3.2 tillåter en autentiserad angripare att skapa ett skadligt stort kodavsnitt som, när den begärs med eller utan autentisering, orsakar överdriven belastning på servern, vilket potentiellt kan leda till ett överbelastningsskydd.
Av de andra sårbarheterna som löstes:
- Paketregistret respekterar inte helt gruppens IP-tillåtelselista, GitLab autentiserade inte korrekt mot något paketregister när IP-adressbegränsningar konfigurerades, vilket tillåter en angripare som redan hade en giltig distributionstoken att missbruka den från vilken plats som helst.
- Missbruk av Gitaly.GetTreeEntries-anrop leder till överbelastning, vilket gör att en autentiserad och auktoriserad användare kan förbruka serverresurser genom att importera ett skadligt projekt.
- Möjliga godtyckliga HTTP-förfrågningar i .ipynb Notebook med skadliga formulärtaggar, vilket gör att en angripare kan utfärda godtyckliga HTTP-förfrågningar.
- Regular expression denial of service via skapad indata gjorde det möjligt för en angripare att utlösa hög CPU-användning via en skapad indata som lades till i fältet Bekräfta meddelande.
- Informationsutlämnande genom godtyckliga GFM-referenser som representeras i incidenter på tidslinjen
- Läs arkivinnehåll via LivePreview-funktion: Det var möjligt för en obehörig användare att läsa arkivinnehåll om en projektmedlem använde en skapad länk.
- Denial of Service via API när du skapar en filial: Felaktig datahantering vid skapande av filial kan ha använts för att utlösa hög CPU-användning.
- Denial of service via ärendeförhandsgranskning
Slutligen, om du är intresserad av att veta mer om det kan du läsa detaljerna I följande länk.