In den aktualisierenden Updates der Plattform für die Zusammenarbeit GitLab 14.8.2, 14.7.4 und 14.6.5 wurde eine kritische Schwachstelle (CVE-2022-0735) behoben, die es unbefugten Benutzern ermöglicht, Registrierungs-Tokens im GitLab Runner, der zum Aufrufen von Handlern beim Kompilieren von Projektcode im System der kontinuierlichen Integration genutzt wird, zu extrahieren. Details werden derzeit nicht bekannt gegeben, es wird jedoch erwähnt, dass das Problem durch einen Informationsleck bei der Verwendung von Quick Actions verursacht wird.
Das Problem wurde von den Mitarbeitern von GitLab identifiziert und betrifft Versionen von 12.10 bis 14.6.5, von 14.7 bis 14.7.4 sowie von 14.8 bis 14.8.2. Benutzer, die ihre eigenen GitLab-Installationen unterstützen, wird geraten, das Update so schnell wie möglich zu installieren oder den Patch anzuwenden. Das Problem wurde behoben, indem der Zugriff auf die Quick Actions nur für Benutzer mit Schreibberechtigung belassen wurde. Nach der Installation des Updates oder der einzelnen Patches "token-prefix" werden zuvor für Gruppen und Projekte erstellte Registrierungs-Tokens im Runner zurückgesetzt und neu generiert.
Neben der kritischen Schwachstelle wurden in den neuen Versionen auch 6 weniger schwerwiegende Schwachstellen behoben, die dazu führen können, dass unprivilegierte Benutzer andere Benutzer zu Gruppen hinzufügen, Benutzer durch Manipulation des Inhalts von Snippets desinformieren, Umgebungsvariablen durch die Methode sendmail leakieren, die Existenz von Benutzern über die GraphQL-API feststellen, Passwörter beim Mirroring von Repositories über SSH im Pull-Modus leakieren und DoS-Angriffe über das Kommentarsystem ausführen können.
Quelle: opennet.ru
