Уязвимост в GitLab, позволяваща стартиране на код при изграждане в CI на всеки проект

Публикувани са коригиращи актуализации на платформата за съвместна разработка – GitLab 15.11.2, 15.10.6 и 15.9.7, в които е отстранена критична уязвимост (CVE-2023-2478), позволяваща на всеки автентифициран потребител чрез манипулации с API GraphQL да прикрепи собствен runner-обработчик (приложение за стартиране на задачи при изграждане на кода на проекта в системата за непрекъсната интеграция) към всеки проект на същия сървър. Подробности за експлоатацията все още не се предоставят. Информацията за уязвимостта е предадена на GitLab в рамките на функциониращата на HackerOne програма за изплащане на награди за откритие на уязвимости.

Източник: opennet.ru