In den Korrekturupdates der Plattform für die Zusammenarbeit in GitLab 14.7.7, 14.8.5 und 14.9.2 wurde eine kritische Schwachstelle (CVE-2022-1162) behoben, die mit voreingestellten (hardcoded) Passwörtern für Konten in Zusammenhang steht, die über den OmniAuth-Anbieter (OAuth, LDAP und SAML) registriert wurden. Diese Schwachstelle könnte einem Angreifer potenziell Zugriff auf das Konto ermöglichen. Allen Benutzern wird dringend empfohlen, das Update umgehend zu installieren. Detaillierte Informationen zu dem Problem werden derzeit nicht veröffentlicht. Für Benutzer, deren Konten von diesem Problem betroffen waren, wurde ein Passwortreset eingeleitet. Das Problem wurde von den Mitarbeitern von GitLab erkannt, und die durchgeführte Untersuchung hat keine Hinweise auf eine Kompromittierung der Benutzer festgestellt.
In den neuen Versionen wurden zudem weitere 16 Schwachstellen behoben, von denen 2 als kritisch, 9 als mittel und 5 als gering eingestuft sind. Zu den kritischen Problemen gehört die Möglichkeit, HTML-Code (XSS) in Notizen (CVE-2022-1175) sowie in Kommentaren/Beschreibungen von Issues (CVE-2022-1190) einzufügen.
Quelle: opennet.ru
