In den Korrektur-Updates der Plattform für die Zusammenarbeit GitLab 14.7.7, 14.8.5 und 14.9.2 wurde eine kritische Sicherheitsanfälligkeit (CVE-2022-1162) behoben, die mit vordefinierten (hardcoded) Passwörtern für Konten in Verbindung steht, die mit dem OmniAuth-Anbieter (OAuth, LDAP und SAML) registriert wurden. Diese Schwachstelle ermöglicht es einem Angreifer potenziell, auf das Konto zuzugreifen. Allen Nutzern wird dringend empfohlen, das Update sofort zu installieren. Einzelheiten zu dem Problem werden bisher nicht veröffentlicht. Für Nutzer, deren Konten betroffen waren, wurde ein Zurücksetzen der festgelegten Passwörter initiiert. Das Problem wurde von Mitarbeitern von GitLab identifiziert, und die durchgeführte Untersuchung ergab keine Hinweise auf eine Kompromittierung der Benutzer.
In den neuen Versionen wurden auch weitere 16 Schwachstellen behoben, darunter 2 als kritisch, 9 als mittel und 5 als unkritisch eingestuft. Zu den kritischen Problemen gehört die Möglichkeit der Einschleusung von HTML-Code (XSS) in Notizen (CVE-2022-1175) sowie in Kommentare/Beschreibungen von Issues (CVE-2022-1190).
Quelle: opennet.ru
