I de reviderede opdateringer til platformen til samarbejdende udvikling GitLab 14.8.2, 14.7.4 og 14.6.5 er der rettet en kritisk sårbarhed (CVE-2022-0735), som gør det muligt for en uautoriseret bruger at udtrække registreringstokens i GitLab Runner, som bruges til at kalde håndterere ved opbygning af projektkode i systemet for kontinuerlig integration. Detaljer er endnu ikke offentliggjort, det nævnes kun, at problemet skyldes informationslækage ved brug af Quick Actions-kommandoer.
Problemet er blevet identificeret af GitLab-medarbejdere og omfatter versioner fra 12.10 til 14.6.5, fra 14.7 til 14.7.4, og fra 14.8 til 14.8.2. Brugere, der understøtter egne installationer af GitLab, anbefales at opdatere eller anvende en patch så hurtigt som muligt. Problemet er løst ved at begrænse adgangen til Quick Actions-kommandoer kun for brugere med skrivetilladelse. Efter installation af opdateringen eller separate patches for 'token-prefix' vil tidligere oprettede registreringstokens i Runner for grupper og projekter blive nulstillet og genereret på ny.
Udover den kritiske sårbarhed er der også rettet 6 mindre farlige sårbarheder i de nye versioner, som kan føre til, at en ikke-privilegeret bruger kan tilføje andre brugere til grupper, vildlede brugere gennem manipulation af indholdet af Snippets, lække miljøvariabler via metoden sendmail, bestemme tilstedeværelsen af brugere via API GraphQL, lække adgangskoder ved spejling af repositories via SSH i pull-tilstand og udføre DoS-angreb via kommentarsystemet.
Kilde: opennet.ru
