Kritische Sicherheitsanfälligkeit in GitLab

In den Korrekturupdates der Plattform für die gemeinsame Entwicklung GitLab 15.3.1, 15.2.3 und 15.1.5 wurde eine kritische Schwachstelle (CVE-2022-2884) behoben, die es einem authentifizierten Benutzer mit Zugang zur API zum Import von Daten aus GitHub ermöglicht, Code auf dem Server remote auszuführen. Details zur Ausnutzung werden derzeit nicht veröffentlicht. Die Schwachstelle wurde von einem Sicherheitsforscher im Rahmen des bestehenden Belohnungsprogramms auf HackerOne entdeckt.

Als Workaround wird dem Administrator empfohlen, die Importfunktion von GitHub zu deaktivieren (im Web-Interface von GitLab: „Menu“ -> „Admin“ -> „Settings“ -> „General“ -> „Visibility and access controls“ -> „Import sources“ -> „GitHub“ deaktivieren).

Quelle: opennet.ru