கிட்லாப் ஒரு வாரத்திற்குள் இரண்டாவது பாதுகாப்புச் சிக்கலால் பாதிக்கப்படுகிறார்
ஒரு வாரத்திற்குள் கிட்லாப் டெவலப்பர்கள் வேலையில் இறங்க வேண்டியிருந்தது, சரி, சில நாட்களுக்கு முன்பு GitLab Collaborative Development Platform 15.3.1, 15.2.3 மற்றும் 15.1.5 க்கான திருத்தமான புதுப்பிப்புகள் வெளியிடப்பட்டன, இது ஒரு முக்கியமான பாதிப்பைத் தீர்த்தது.
கீழ் பட்டியலிடப்பட்டுள்ளது CVE-2022-2884, இந்த பாதிப்பு அங்கீகரிக்கப்பட்ட பயனரை GitHub Import APIக்கான அணுகலை அனுமதிக்கும் சேவையகத்தில் குறியீட்டை தொலைவிலிருந்து இயக்கவும். செயல்பாட்டு விவரங்கள் எதுவும் இன்னும் வெளியிடப்படவில்லை. HackerOne இன் பாதிப்புக்கான பவுண்டி திட்டத்தின் ஒரு பகுதியாக, பாதுகாப்பு ஆராய்ச்சியாளரால் பாதிப்பு அடையாளம் காணப்பட்டது.
ஒரு தீர்வாக, GitHub அம்சத்திலிருந்து இறக்குமதியை முடக்குமாறு நிர்வாகிக்கு அறிவுறுத்தப்பட்டது (GitLab இணைய இடைமுகத்தில்: "மெனு" -> "நிர்வாகம்" -> "அமைப்புகள்" -> "பொது" -> "தெரிவு மற்றும் அணுகல் கட்டுப்பாடுகள் » -> "இறக்குமதி ஆதாரங்கள்" -> "GitHub" ஐ முடக்கு).
அதன் பிறகு மற்றும் ஒரு வாரத்திற்குள் GitLab திருத்தமான புதுப்பிப்புகளின் அடுத்த தொடரை வெளியிடுகிறேன் அவர்களின் கூட்டு வளர்ச்சி தளத்திற்கு: 15.3.2, 15.2.4 மற்றும் 15.1.6, இது இரண்டாவது முக்கியமான பாதிப்பை சரிசெய்கிறது.
கீழ் பட்டியலிடப்பட்டுள்ளது CVE-2022-2992, இந்த பாதிப்பு அங்கீகரிக்கப்பட்ட பயனரை குறியீட்டை இயக்க அனுமதிக்கிறது தொலைவிலிருந்து ஒரு சர்வரில். ஒரு வாரத்திற்கு முன்பு சரி செய்யப்பட்ட CVE-2022-2884 பாதிப்பைப் போலவே, GitHub சேவையிலிருந்து தரவை இறக்குமதி செய்வதில் புதிய API சிக்கல் உள்ளது. மற்றவற்றுடன், 15.3.1, 15.2.3 மற்றும் 15.1.5 வெளியீடுகளில் பாதிப்பு தன்னை வெளிப்படுத்துகிறது, இதில் GitHub இலிருந்து இறக்குமதி குறியீட்டின் முதல் பாதிப்பு சரி செய்யப்பட்டது.
செயல்பாட்டு விவரங்கள் எதுவும் இன்னும் வெளியிடப்படவில்லை. இந்த பாதிப்பு HackerOne இன் வால்னரபிலிட்டி பவுண்டி திட்டத்தின் ஒரு பகுதியாக GitLab க்கு சமர்ப்பிக்கப்பட்டது, ஆனால் முந்தைய இதழ் போலல்லாமல், இது மற்றொரு பங்களிப்பாளரால் அடையாளம் காணப்பட்டது.
ஒரு தீர்வாக, GitHub அம்சத்திலிருந்து இறக்குமதியை முடக்க நிர்வாகி பரிந்துரைக்கப்படுகிறார் (GitLab இணைய இடைமுகத்தில்: "மெனு" -> "நிர்வாகம்" -> "அமைப்புகள்" -> "பொது" -> "தெரிவு மற்றும் அணுகல் கட்டுப்பாடுகள் » -> "இறக்குமதி ஆதாரங்கள்" -> "GitHub" ஐ முடக்கு).
கூடுதலாக, முன்மொழியப்பட்ட புதுப்பிப்புகள் மேலும் 14 பாதிப்புகளை சரிசெய்தன, அவற்றில் இரண்டு ஆபத்தானவை எனக் குறிக்கப்பட்டுள்ளன, பத்து நடுத்தர தீவிரத்தன்மை கொண்டவை மற்றும் இரண்டு ஆபத்தானவை அல்ல.
பின்வருபவை ஆபத்தானவையாக அங்கீகரிக்கப்பட்டுள்ளன: பாதிப்பு CVE-2022-2865, இது உங்கள் சொந்த ஜாவாஸ்கிரிப்ட் குறியீட்டைச் சேர்க்க அனுமதிக்கிறது வண்ண லேபிள்களைக் கையாளுவதன் மூலம் மற்ற பயனர்களுக்குக் காட்டப்படும் பக்கங்களுக்கு,
கிளையன்ட் தரப்பில் பாதிக்கப்பட்டவர்கள் சார்பாக தன்னிச்சையான செயல்களைச் செய்ய தாக்குபவர்களை அனுமதிக்கும் XSS சேமிக்கப்படும் லேபிள் வண்ண அம்சத்தை உள்ளமைப்பதன் மூலம் ஒரு பாதிப்பைப் பயன்படுத்திக் கொள்ள முடிந்தது.
புதிய தொடர் திருத்தங்கள் மூலம் தீர்க்கப்பட்ட பாதிப்புகளில் மற்றொன்று CVE-2022-2527, இது விளக்கப் புலத்தின் மூலம் அதன் உள்ளடக்கத்தை மாற்றுவதை சாத்தியமாக்குகிறது சம்பவ அளவிலான காலவரிசையில்). நடுத்தர தீவிரத்தன்மை பாதிப்புகள் முதன்மையாக சேவை திறன் மறுப்புடன் தொடர்புடையவை.
GitLab CE/EE இல் உள்ள துணுக்கு விளக்கங்களில் நீள சரிபார்ப்பு இல்லாமை 15.1.6 க்கு முந்தைய அனைத்து பதிப்புகளையும், 15.2 முதல் 15.2.4 க்கு முந்தைய அனைத்து பதிப்புகளையும், 15.3 முதல் 15.3.2 க்கு முந்தைய அனைத்து பதிப்புகளையும் பாதிக்கிறது. அங்கீகாரத்துடன் அல்லது இல்லாமல் கோரப்படும் போது, சர்வரில் அதிகப்படியான சுமை ஏற்படுகிறது, இது சேவை மறுப்புக்கு வழிவகுக்கும்.
மற்ற பாதிப்புகளில் அவை தீர்க்கப்பட்டன:
- குழுவின் IP அனுமதி பட்டியலை பாக்கெட் பதிவேட்டில் முழுமையாக மதிக்கவில்லை, IP முகவரி கட்டுப்பாடுகள் உள்ளமைக்கப்பட்ட போது GitLab சில தொகுப்பு பதிவேட்டில் சரியாக அங்கீகரிக்கவில்லை, ஏற்கனவே சரியான வரிசைப்படுத்தல் டோக்கனை வைத்திருக்கும் தாக்குபவர் எந்த இடத்திலிருந்தும் அதை தவறாக பயன்படுத்த அனுமதிக்கிறார்.
- Gitaly.GetTreeEntries அழைப்புகளைத் தவறாகப் பயன்படுத்துவது சேவை மறுப்புக்கு வழிவகுக்கிறது, இது ஒரு அங்கீகரிக்கப்பட்ட மற்றும் அங்கீகரிக்கப்பட்ட பயனரை தீங்கிழைக்கும் திட்டத்தை இறக்குமதி செய்வதன் மூலம் சர்வர் வளங்களை வெளியேற்ற அனுமதிக்கிறது.
- தீங்கிழைக்கும் படிவக் குறிச்சொற்களைக் கொண்ட .ipynb நோட்புக்கில் சாத்தியமான தன்னிச்சையான HTTP கோரிக்கைகள், இது தாக்குபவர் தன்னிச்சையான HTTP கோரிக்கைகளை வழங்க அனுமதிக்கிறது.
- வடிவமைக்கப்பட்ட உள்ளீடு மூலம் சேவையின் வழக்கமான வெளிப்பாடு மறுப்பு, உறுதிப்படுத்தல் செய்தி புலத்தில் சேர்க்கப்பட்ட வடிவமைக்கப்பட்ட உள்ளீடு மூலம் அதிக CPU பயன்பாட்டைத் தூண்டுவதற்கு தாக்குபவர் அனுமதித்தது.
- சம்பவ காலக்கெடு நிகழ்வுகளில் குறிப்பிடப்படும் தன்னிச்சையான GFM குறிப்புகள் மூலம் தகவல் வெளிப்படுத்தல்
- LivePreview செயல்பாட்டின் மூலம் களஞ்சிய உள்ளடக்கத்தைப் படிக்கவும்: திட்ட உறுப்பினர் வடிவமைக்கப்பட்ட இணைப்பைப் பயன்படுத்தினால், அங்கீகரிக்கப்படாத பயனர் களஞ்சிய உள்ளடக்கத்தைப் படிக்க முடியும்.
- கிளையை உருவாக்கும் போது API மூலம் சேவை மறுப்பு: கிளை உருவாக்கத்தில் தவறான தரவு கையாளுதல் அதிக CPU பயன்பாட்டை தூண்டுவதற்கு பயன்படுத்தப்பட்டிருக்கலாம்.
- பிரச்சினை முன்னோட்டம் மூலம் சேவை மறுப்பு
இறுதியாக, நீங்கள் இதைப் பற்றி மேலும் தெரிந்து கொள்ள ஆர்வமாக இருந்தால், விவரங்களை ஆலோசிக்கலாம் பின்வரும் இணைப்பில்.