Kritische Sicherheitsanfälligkeit in GitLab

In den Korrekturupdates der GitLab-Plattform für die Zusammenarbeit 15.3.1, 15.2.3 und 15.1.5 wurde eine kritische Sicherheitsanfälligkeit (CVE-2022-2884) behoben, die es authentifizierten Benutzern mit Zugang zur API zum Import von Daten aus GitHub ermöglicht, Code auf dem Server remote auszuführen. Details zur Ausnutzung werden derzeit nicht veröffentlicht. Die Schwachstelle wurde von einem Sicherheitsexperten im Rahmen des laufenden HackerOne-Belohnungsprogramms zur Auffindung von Sicherheitsanfälligkeiten entdeckt.

Als workaround wird den Administratoren empfohlen, die Importfunktion von GitHub zu deaktivieren (im Webinterface von GitLab: „Menu“ -> „Admin“ -> „Settings“ -> „General“ -> „Visibility and access controls“ -> „Import sources“ -> „GitHub“ deaktivieren).

Quelle: opennet.ru