Π ΠΊΠΎΡΡΠ΅ΠΊΡΠΈΡΡΡΡΠΈΡ ΠΎΠ±Π½ΠΎΠ²Π»Π΅Π½ΠΈΡΡ ΠΏΠ»Π°ΡΡΠΎΡΠΌΡ Π΄Π»Ρ ΠΎΡΠ³Π°Π½ΠΈΠ·Π°ΡΠΈΠΈ ΡΠΎΠ²ΠΌΠ΅ΡΡΠ½ΠΎΠΉ ΡΠ°Π·ΡΠ°Π±ΠΎΡΠΊΠΈ GitLab 14.7.7, 14.8.5 ΠΈ 14.9.2 ΡΡΡΡΠ°Π½Π΅Π½Π° ΠΊΡΠΈΡΠΈΡΠ΅ΡΠΊΠ°Ρ ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΡ (CVE-2022-1162), ΡΠ²ΡΠ·Π°Π½Π½Π°Ρ Ρ ΡΡΡΠ°Π½ΠΎΠ²ΠΊΠΎΠΉ ΠΏΡΠ΅Π΄ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ½Π½ΡΡ (hardcoded) ΠΏΠ°ΡΠΎΠ»Π΅ΠΉ Π΄Π»Ρ ΡΡΡΡΠ½ΡΡ Π·Π°ΠΏΠΈΡΠ΅ΠΉ, Π·Π°ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠΎΠ²Π°Π½Π½ΡΡ Ρ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠ΅ΠΌ ΠΏΡΠΎΠ²Π°ΠΉΠ΄Π΅ΡΠ° OmniAuth (OAuth, LDAP ΠΈ SAML). Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡΡ ΠΏΠΎΡΠ΅Π½ΡΠΈΠ°Π»ΡΠ½ΠΎ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ Π°ΡΠ°ΠΊΡΡΡΠ΅ΠΌΡ ΠΏΠΎΠ»ΡΡΠΈΡΡ Π΄ΠΎΡΡΡΠΏ ΠΊ ΡΡΡΡΠ½ΠΎΠΉ Π·Π°ΠΏΠΈΡΠΈ. ΠΡΠ΅ΠΌ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»ΡΠΌ ΡΠ΅ΠΊΠΎΠΌΠ΅Π½Π΄ΡΠ΅ΡΡΡ ΡΡΠΎΡΠ½ΠΎ ΡΡΡΠ°Π½ΠΎΠ²ΠΈΡΡ ΠΎΠ±Π½ΠΎΠ²Π»Π΅Π½ΠΈΠ΅. ΠΠ΅ΡΠ°Π»ΠΈ ΠΏΡΠΎΠ±Π»Π΅ΠΌΡ ΠΏΠΎΠΊΠ° Π½Π΅ ΡΠ°ΡΠΊΡΡΠ²Π°ΡΡΡΡ. ΠΠ»Ρ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»Π΅ΠΉ, ΡΡΠΈ ΡΡΡΡΠ½ΡΠ΅ Π·Π°ΠΏΠΈΡΠΈ Π±ΡΠ»ΠΈ ΠΏΠΎΠ΄Π²Π΅ΡΠΆΠ΅Π½Ρ ΠΏΡΠΎΠ±Π»Π΅ΠΌΠ΅, ΠΈΠ½ΠΈΡΠΈΠΈΡΠΎΠ²Π°Π½ ΡΠ±ΡΠΎΡ ΡΡΡΠ°Π½ΠΎΠ²Π»Π΅Π½Π½ΡΡ ΠΏΠ°ΡΠΎΠ»Π΅ΠΉ. ΠΡΠΎΠ±Π»Π΅ΠΌΠ° Π²ΡΡΠ²Π»Π΅Π½Π° ΡΠΎΡΡΡΠ΄Π½ΠΈΠΊΠ°ΠΌΠΈ GitLab ΠΈ ΠΏΡΠΎΠ²Π΅Π΄ΡΠ½Π½ΠΎΠ΅ ΡΠ°ΡΡΠ»Π΅Π΄ΠΎΠ²Π°Π½ΠΈΠ΅ Π½Π΅ Π²ΡΡΠ²ΠΈΠ»ΠΎ ΡΠ»Π΅Π΄ΠΎΠ² ΠΊΠΎΠΌΠΏΡΠΎΠΌΠ΅ΡΠ°ΡΠΈΠΈ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»Π΅ΠΉ.
Π Π½ΠΎΠ²ΡΡ
Π²Π΅ΡΡΠΈΡΡ
ΡΠ°ΠΊΠΆΠ΅ ΡΡΡΡΠ°Π½Π΅Π½ΠΎ Π΅ΡΡ 16 ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΠ΅ΠΉ, ΠΈΠ· ΠΊΠΎΡΠΎΡΡΡ
2 ΠΏΠΎΠΌΠ΅ΡΠ΅Π½Ρ ΠΊΠ°ΠΊ ΠΎΠΏΠ°ΡΠ½ΡΠ΅, 9 — ΡΠΌΠ΅ΡΠ΅Π½Π½ΡΠ΅ ΠΈ 5 Π½Π΅ΠΎΠΏΠ°ΡΠ½ΡΠ΅. Π‘ΡΠ΅Π΄ΠΈ ΠΎΠΏΠ°ΡΠ½ΡΡ
ΠΏΡΠΎΠ±Π»Π΅ΠΌ — Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΡ ΠΏΠΎΠ΄ΡΡΠ°Π½ΠΎΠ²ΠΊΠΈ HTML-ΠΊΠΎΠ΄Π° (XSS) Π² ΠΏΡΠΈΠΌΠ΅ΡΠ°Π½ΠΈΡ (CVE-2022-1175) ΠΈ ΠΊΠΎΠΌΠΌΠ΅Π½ΡΠ°ΡΠΈΠΈ/ΠΎΠΏΠΈΡΠ°Π½ΠΈΡ Π² issue (CVE-2022-1190).
ΠΡΡΠΎΡΠ½ΠΈΠΊ: opennet.ru