এক সপ্তাহের মধ্যে গিটল্যাবে দ্বিতীয় গুরুতর দুর্বলতা

গিটল্যাব তার সহযোগী উন্নয়ন প্ল্যাটফর্মের জন্য সর্বশেষ প্যাচ সিরিজ—ভার্সন 15.3.2, 15.2.4, এবং 15.1.6—প্রকাশ করেছে, যা একটি গুরুতর দুর্বলতা (CVE-2022-2992) সমাধান করে। এই দুর্বলতার কারণে একজন প্রমাণীকৃত ব্যবহারকারী দূর থেকে সার্ভারে কোড চালাতে পারতেন। এক সপ্তাহ আগে প্যাচ করা CVE-2022-2884-এর মতো, এই নতুন সমস্যাটিও গিটহাব থেকে ডেটা ইম্পোর্ট করার এপিআই-কে প্রভাবিত করে। এই দুর্বলতাটি রিলিজ 15.3.1, 15.2.3, এবং 15.1.5-কেও প্রভাবিত করে, যেগুলোতে গিটহাব ইম্পোর্ট কোডের প্রাথমিক দুর্বলতাটি সমাধান করা হয়েছিল।

এক্সপ্লয়েট সম্পর্কিত বিস্তারিত তথ্য এখনও পাওয়া যায়নি। হ্যাকারওয়ান বাগ বাউন্টি প্রোগ্রামের মাধ্যমে গিটল্যাবকে এই দুর্বলতা সম্পর্কে জানানো হয়েছিল, কিন্তু পূর্ববর্তী সমস্যার মতো নয়, এটি একজন ভিন্ন অংশগ্রহণকারী দ্বারা আবিষ্কৃত হয়েছে। একটি বিকল্প সমাধান হিসেবে, অ্যাডমিনিস্ট্রেটরদের গিটহাব ইম্পোর্ট ফিচারটি নিষ্ক্রিয় করার পরামর্শ দেওয়া হচ্ছে (গিটল্যাব ওয়েব ইন্টারফেসে: "মেনু" -> "অ্যাডমিন" -> "সেটিংস" -> "সাধারণ" -> "ভিজিবিলিটি অ্যান্ড অ্যাক্সেস কন্ট্রোলস" -> "ইম্পোর্ট সোর্সেস" -> "গিটহাব" নিষ্ক্রিয় করুন)।

এছাড়াও, প্রস্তাবিত আপডেটগুলো আরও ১৪টি দুর্বলতা সমাধান করে, যার মধ্যে দুটিকে গুরুতর, দশটিকে মাঝারি তীব্রতার এবং দুটিকে অ-গুরুতর হিসেবে চিহ্নিত করা হয়েছে। নিম্নলিখিত দুর্বলতাগুলোকে গুরুতর বলে মনে করা হয়: দুর্বলতা CVE-2022-2865, যা ব্যবহারকারীদের রঙের লেবেল পরিবর্তন করে অন্য ব্যবহারকারীদের কাছে প্রদর্শিত পৃষ্ঠাগুলিতে কাস্টম জাভাস্ক্রিপ্ট কোড ঢোকানোর সুযোগ দেয়, এবং দুর্বলতা CVE-2022-2527, যা ব্যবহারকারীদের ইনসিডেন্টস টাইমলাইনের বিবরণ ক্ষেত্রে কাস্টম বিষয়বস্তু ঢোকানোর সুযোগ দেয়। মাঝারি-তীব্রতার দুর্বলতাগুলো প্রধানত ডিনায়াল অফ সার্ভিস সম্পর্কিত।

উত্স: opennet.ru