{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Den anden kritiske s\u00e5rbarhed p\u00e5 en uge i GitLab","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitLab har udgivet endnu en serie af opdateringer til sin platform for samarbejdende udvikling \u2014 15.3.2, 15.2.4 og 15.1.6, hvor en kritisk s\u00e5rbarhed (CVE-2022-2992), der g\u00f8r det muligt for en autentificeret bruger at udf\u00f8re kode eksternt p\u00e5 serveren, er blevet rettet. Ligesom s\u00e5rbarheden CVE-2022-2884, der blev rettet for en uge siden, findes det nye problem i API'en til import af data fra GitHub. S\u00e5rbarheden findes ogs\u00e5 i versionerne 15.3.1, 15.2.3 og 15.1.5, hvor den f\u00f8rste s\u00e5rbarhed i importkoden fra GitHub blev rettet. <\/p>\n
Detaljerne omkring udnyttelsen er endnu ikke offentliggjort. Oplysninger om s\u00e5rbarheden er blevet overbragt til GitLab som en del af det aktive program for bel\u00f8nning for opdagelse af s\u00e5rbarheder p\u00e5 HackerOne, men i mods\u00e6tning til det tidligere problem, blev det identificeret af en anden deltager. Som en midlertidig l\u00f8sning anbefales administratoren at deaktivere importfunktionen fra GitHub (i webgr\u00e6nsefladen til GitLab: \u00abMenu\u00bb -> \u00abAdmin\u00bb -> \u00abIndstillinger\u00bb -> \u00abGenerelt\u00bb -> \u00abSynlighed og adgangskontroller\u00bb -> \u00abImportkilder\u00bb -> deaktivere \u00abGitHub\u00bb). <\/p>\n
Derudover er der blevet rettet yderligere 14 s\u00e5rbarheder i de foresl\u00e5ede opdateringer, hvoraf to er klassificeret som kritiske, ti har f\u00e5et et middel risiko-niveau, og to er markeret som ikke-kritiske. De kritiske er: s\u00e5rbarheden CVE-2022-2865, der giver mulighed for at inds\u00e6tte sin egen JavaScript-kode p\u00e5 sider, der vises til andre brugere via manipulation af farvekoder, samt s\u00e5rbarheden CVE-2022-2527, der muligg\u00f8r at inds\u00e6tte eget indhold gennem beskrivelsesfeltet i h\u00e6ndelsestidslinjen (Incidents Timeline). S\u00e5rbarhederne af middel faregrad er hovedsageligt knyttet til potentiel tjenesten\u00e6gtelse. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"