Ve správných aktualizacích platformy pro spolupráci GitLab 14.7.7, 14.8.5 a 14.9.2 byla odstraněna kritická zranitelnost (CVE-2022-1162) spojená s nastavením předdefinovaných (hardcoded) hesel pro účty registrované pomocí poskytovatele OmniAuth (OAuth, LDAP a SAML). Zranitelnost potenciálně umožňuje útočníkovi získat přístup k účtu. Všem uživatelům se důrazně doporučuje okamžitě nainstalovat aktualizaci. Podrobnosti o problému zatím nebyly zveřejněny. Pro uživatele, jejichž účty byly zasaženy problémem, byl zahájen reset nastavených hesel. Problém byl identifikován zaměstnanci GitLab a provedené vyšetřování neodhalilo stopy po kompromitaci uživatelů.
V nových verzích bylo také odstraněno dalších 16 zranitelností, z nichž 2 jsou označeny jako závažné, 9 jako střední a 5 jako neškodné. Mezi závažné problémy patří možnost injekce HTML kódu (XSS) do poznámek (CVE-2022-1175) a komentářů/popisu v issue (CVE-2022-1190).
Zdroj: opennet.ru
