Критична уязвимост в GitLab

В корекционните обновления на платформата за съвместна разработка GitLab 15.3.1, 15.2.3 и 15.1.5 е отстранена критична уязвимост (CVE-2022-2884), която позволява на автентифициран потребител, имайки достъп до API за импорт на данни от GitHub, отдалечено да изпълни код на сървера. Подробности за експлоатацията все още не са предоставени. Уязвимостта е открита от изследовател по сигурността в рамките на действащата програма за възнаграждения за открития на уязвимости в HackerOne.

Като временно решение, на администратора се препоръчва да деактивира функцията за импорт от GitHub (в уеб интерфейса на GitLab: „Меню“ -> „Администратор“ -> „Настройки“ -> „Общи“ -> „Контроли за видимост и достъп“ -> „Източници на импорт“ -> деактивирайте „GitHub“).

Източник: opennet.ru