В корекционните актуализации на платформата за съвместна разработка GitLab 15.3.1, 15.2.3 и 15.1.5 е отстранена критична уязвимост (CVE-2022-2884), която позволява на удостоверен потребител, притежаващ достъп до API за импортиране на данни от GitHub, да изпълнява код на сървъра от разстояние. Все още не се предоставят подробности относно експлоатацията. Уязвимостта е открита от изследовател по сигурността в рамките на програмата за възнаграждения за открития на уязвимости на HackerOne.
Като обходен вариант на администратора се препоръчва да деактивира функцията за внос от GitHub (в уеб интерфейса на GitLab: „Меню“ -> „Админ“ -> „Настройки“ -> „Общи“ -> „Контроли на видимост и достъп“ -> „Източници на внос“ -> деактивирайте „GitHub“).
Източник: opennet.ru
