Gitlab, bir haftadan kısa bir süre içinde ikinci bir güvenlik sorunu yaşıyor
bir haftadan az bir sürede Gitlab geliştiricileri işe başlamak zorunda kaldı, Birkaç gün önce GitLab Collaborative Development Platform 15.3.1, 15.2.3 ve 15.1.5 için kritik bir güvenlik açığını gideren düzeltici güncellemeler yayınlandı.
altında listelenen CVE-2022-2884, bu güvenlik açığı kimliği doğrulanmış bir kullanıcının GitHub Import API'sine erişmesine izin verebilir bir sunucuda uzaktan kod çalıştırın. Operasyonel detaylar henüz açıklanmadı. Güvenlik açığı, bir güvenlik araştırmacısı tarafından HackerOne'ın güvenlik açığı ödül programının bir parçası olarak belirlendi.
Çözüm olarak yöneticiye GitHub özelliğinden içe aktarmayı devre dışı bırakması önerildi (GitLab web arayüzünde: “Menü” -> “Yönetici” -> “Ayarlar” -> “Genel” -> “Görünürlük ve erişim kontrolleri » -> «Kaynakları içe aktar» -> «GitHub»ı devre dışı bırakın).
Bundan sonra ve bir haftadan kısa bir süre içinde GitLab Bir sonraki düzeltici güncelleme serisini yayınlıyorum ortak geliştirme platformları için: ikinci kritik güvenlik açığını gideren 15.3.2, 15.2.4 ve 15.1.6.
altında listelenen CVE-2022-2992, bu güvenlik açığı kimliği doğrulanmış bir kullanıcının kod yürütmesine izin verir bir sunucuda uzaktan. Bir hafta önce giderilen CVE-2022-2884 güvenlik açığı gibi, GitHub hizmetinden veri içe aktarmak için yeni bir API sorunu var. Güvenlik açığı, diğer şeylerin yanı sıra GitHub'dan içe aktarma kodundaki ilk güvenlik açığının giderildiği 15.3.1, 15.2.3 ve 15.1.5 sürümlerinde kendini gösterir.
Operasyonel detaylar henüz açıklanmadı. Güvenlik açığı, HackerOne'ın güvenlik açığı ödül programının bir parçası olarak GitLab'a gönderildi, ancak önceki sayıdan farklı olarak başka bir katkıda bulunan tarafından belirlendi.
Çözüm olarak, yöneticinin GitHub özelliğinden içe aktarmayı devre dışı bırakması önerilir (GitLab web arayüzünde: “Menü” -> “Yönetici” -> “Ayarlar” -> “Genel” -> “Görünürlük ve erişim kontrolleri » -> «Kaynakları içe aktar» -> «GitHub»ı devre dışı bırakın).
Buna ek olarak, önerilen güncellemeler 14 güvenlik açığını daha düzeltti, ikisi tehlikeli, on tanesi orta şiddette ve ikisi tehlikeli değil olarak işaretlenmiştir.
Aşağıdakiler tehlikeli olarak kabul edilir: güvenlik açığı Kendi JavaScript kodunuzu eklemenizi sağlayan CVE-2022-2865 renkli etiketlerin manipülasyonu yoluyla diğer kullanıcılara görüntülenen sayfalara,
Saldırganların istemci tarafında kurbanlar adına rastgele eylemler gerçekleştirmesine izin veren depolanmış XSS'ye yol açabilecek etiket rengi özelliğini yapılandırarak bir güvenlik açığından yararlanmak mümkündü.
Yeni dizi düzeltmelerle giderilen güvenlik açıklarından bir diğeri de, Açıklama alanı aracılığıyla içeriğini değiştirmeyi mümkün kılan CVE-2022-2527 Olay ölçeği zaman çizelgesinde). Orta önemdeki güvenlik açıkları, öncelikle hizmet reddi potansiyeliyle ilgilidir.
15.1.6'dan önceki tüm sürümleri, 15.2'ten önceki tüm sürümleri, 15.2.4'ten önceki tüm sürümleri, 15.3'den önceki 15.3.2'teki tüm sürümleri etkileyen GitLab CE/EE'deki Snippet açıklamalarında uzunluk doğrulama eksikliği, kimliği doğrulanmış bir saldırganın kötü niyetli olarak büyük bir snippet oluşturmasına olanak tanır kimlik doğrulamalı veya kimlik doğrulamasız istendiğinde, sunucuda aşırı yüke neden olarak hizmet reddine neden olabilir.
Diğer güvenlik açıklarından bunlar çözüldü:
- Paket kayıt defteri, grubun IP izin verilenler listesini tam olarak kabul etmiyor, GitLab, IP adresi kısıtlamaları yapılandırıldığında bazı Paket Kayıtlarına karşı düzgün bir şekilde kimlik doğrulaması yapmıyordu ve halihazırda geçerli bir dağıtım belirtecine sahip olan bir saldırganın onu herhangi bir yerden kötüye kullanmasına izin veriyordu.
- Gitaly.GetTreeEntries çağrılarının kötüye kullanılması, hizmet reddine yol açarak kimliği doğrulanmış ve yetkili bir kullanıcının kötü amaçlı bir projeyi içe aktararak sunucu kaynaklarını tüketmesine olanak tanır.
- .ipynb Not Defteri'nde, bir saldırganın rastgele HTTP istekleri yayınlamasına olanak tanıyan kötü amaçlı form etiketleri içeren olası isteğe bağlı HTTP istekleri.
- Hazırlanmış giriş yoluyla düzenli ifade hizmet reddi, bir saldırganın, Onayla mesaj alanına eklenen hazırlanmış bir giriş aracılığıyla yüksek CPU kullanımını tetiklemesine izin verdi.
- Olay zaman çizelgesi olaylarında temsil edilen keyfi GFM referansları aracılığıyla bilgi ifşası
- Depo içeriğini LivePreview işlevi aracılığıyla okuyun: Bir proje üyesi hazırlanmış bir bağlantı kullandıysa, yetkisiz bir kullanıcının depo içeriğini okuması mümkündü.
- Şube oluştururken API aracılığıyla Hizmet Reddi: Şube oluşturmada hatalı veri işleme, yüksek CPU kullanımını tetiklemek için kullanılmış olabilir.
- Sorun önizlemesi yoluyla hizmet reddi
Son olarak, bu konuda daha fazla bilgi edinmek istiyorsanız, ayrıntılara başvurabilirsiniz. Aşağıdaki bağlantıda.