Společnost GitLab zveřejnila další sérii opravné aktualizace své platformy pro organizaci týmového vývoje – 15.3.2, 15.2.4 a 15.1.6, která řeší kritickou zranitelnost (CVE-2022-2992), která umožňuje autentizovanému uživateli vzdáleně spustit kód na serveru. Stejně jako zranitelnost CVE-2022-2884, opravená před týdnem, nový problém se vyskytuje v API pro import dat ze služby GitHub. Zranitelnost se projevuje také ve verzích 15.3.1, 15.2.3 a 15.1.5, v nichž byla opravena první zranitelnost v kódu importu z GitHub.
Podrobnosti o zneužití zatím nebyly zveřejněny. Informace o zranitelnosti byly předány společnosti GitLab v rámci programu odměn za nalezení zranitelností, který se koná na HackerOne, ale na rozdíl od předchozího problému byla odhalena jiným účastníkem. Jako obchoďák se doporučuje administrátorovi deaktivovat funkci importu z GitHubu (v webovém rozhraní GitLab: „Menu“ -> „Admin“ -> „Nastavení“ -> „Obecné“ -> „Viditelnost a přístupová práva“ -> „Importovat zdroje“ -> deaktivovat „GitHub“).
Kromě toho bylo v navrhovaných aktualizacích opraveno dalších 14 zranitelností, z nichž dvě jsou označeny jako nebezpečné, deseti byla přiřazena střední úroveň nebezpečí a dvě byly označeny jako bezrizikové. Nebezpečné jsou: zranitelnost CVE-2022-2865, která umožňuje přidat svůj JavaScriptový kód na stránky zobrazované ostatním uživatelům manipulací s barevnými štítky, a také zranitelnost CVE-2022-2527, která umožňuje vložit svůj obsah přes pole s popisem v časové ose incidentů (Incidents Timeline). Zranitelnosti středního nebezpečí jsou převážně spojeny s možností způsobit výpadek služeb.
Zdroj: opennet.ru
