V opravách platformy pro spolupráci GitLab 14.8.2, 14.7.4 a 14.6.5 byla odstraněna kritická zranitelnost (CVE-2022-0735), která umožnila neoprávněnému uživateli získat registrační tokeny v GitLab Runneru, používaném k organizaci volání zpracovatelů při sestavení kódu projektu v systému neustálé integrace. Podrobnosti zatím nejsou uvedeny, zmiňuje se pouze to, že problém byl způsoben únikem informací při používání příkazů Quick Actions.
Problém byl odhalen zaměstnanci GitLab a týká se verzí od 12.10 do 14.6.5, od 14.7 do 14.7.4 a od 14.8 do 14.8.2. Uživatelům, kteří podporují své vlastní instalace GitLab, se doporučuje co nejdříve nainstalovat aktualizaci nebo aplikovat patch. Problém byl vyřešen tím, že přístup k příkazům Quick Actions byl ponechán pouze pro uživatele, kteří mají oprávnění pro zápis. Po instalaci aktualizace nebo jednotlivých patchů „token-prefix“ budou dříve vytvořené tokeny registrace v Runneru pro skupiny a projekty resetovány a znovu vygenerovány.
Kromě kritické zranitelnosti byla v nových verzích odstraněna také 6 méně závažných zranitelností, které mohou vést k přidání neoprávněného uživatele do skupin, dezinformaci uživatelů manipulací s obsahem Snippetů, úniku proměnných prostředí prostřednictvím metody dodání sendmail, určení přítomnosti uživatelů přes API GraphQL, úniku hesel při zrcadlení repozitářů přes SSH v režimu pull a DoS útoku prostřednictvím systému odesílání komentářů.
Zdroj: opennet.ru
