গিটল্যাবে দুর্বলতা যা রানার টোকেনগুলিতে অ্যাক্সেসের অনুমতি দেয়

সহযোগিতামূলক ডেভেলপমেন্ট প্ল্যাটফর্ম গিটল্যাব 14.8.2, 14.7.4 এবং 14.6.5-এর সংশোধনমূলক আপডেটগুলি একটি গুরুতর দুর্বলতা (CVE-2022-0735) দূর করে যা একজন অননুমোদিত ব্যবহারকারীকে GitLab রানার ব্যবহার করা কলারের কাছে রেজিস্ট্রেশন টোকেন বের করতে দেয়, যা একটি অবিচ্ছিন্ন ইন্টিগ্রেশন সিস্টেমে প্রকল্প কোড তৈরি করার সময়। বিশদ এখনও প্রদান করা হয়নি, শুধুমাত্র দ্রুত অ্যাকশন কমান্ড ব্যবহার করার সময় তথ্য ফাঁসের কারণে সমস্যাটি ঘটে।

সমস্যাটি GitLab কর্মীদের দ্বারা চিহ্নিত করা হয়েছিল এবং 12.10 থেকে 14.6.5, 14.7 থেকে 14.7.4, এবং 14.8 থেকে 14.8.2 সংস্করণগুলিকে প্রভাবিত করে৷ কাস্টম গিটল্যাব ইনস্টলেশন বজায় রাখা ব্যবহারকারীদের যত তাড়াতাড়ি সম্ভব আপডেট ইনস্টল বা প্যাচ প্রয়োগ করার পরামর্শ দেওয়া হয়। শুধুমাত্র লেখার অনুমতি সহ ব্যবহারকারীদের জন্য দ্রুত অ্যাকশন কমান্ডগুলিতে অ্যাক্সেস সীমাবদ্ধ করে সমস্যাটি সমাধান করা হয়েছিল। আপডেট বা স্বতন্ত্র "টোকেন-প্রিফিক্স" প্যাচগুলি ইনস্টল করার পরে, রানারে রেজিস্ট্রেশন টোকেনগুলি পূর্বে গোষ্ঠী এবং প্রকল্পগুলির জন্য তৈরি করা হবে এবং পুনরায় তৈরি করা হবে।

সমালোচনামূলক দুর্বলতা ছাড়াও, নতুন সংস্করণগুলি 6টি কম বিপজ্জনক দুর্বলতাও দূর করে যা একটি সুবিধাবিহীন ব্যবহারকারীকে অন্য ব্যবহারকারীদের গ্রুপে যুক্ত করতে, স্নিপেটের বিষয়বস্তু হেরফের করার মাধ্যমে ব্যবহারকারীদের ভুল তথ্য, সেন্ডমেইল বিতরণ পদ্ধতির মাধ্যমে পরিবেশের ভেরিয়েবলের ফাঁস, GraphQL API এর মাধ্যমে ব্যবহারকারীদের উপস্থিতি নির্ধারণ করা, পুল মোডে SSH এর মাধ্যমে সংগ্রহস্থলগুলিকে মিরর করার সময় পাসওয়ার্ডের ফাঁস, মন্তব্য জমা দেওয়ার সিস্টেমের মাধ্যমে DoS আক্রমণ।

উত্স: opennet.ru