Das Unternehmen GitLab hat eine neue Serie von Korrekturupdates seiner Plattform für die Organisation der gemeinsamen Entwicklung veröffentlicht - 15.3.2, 15.2.4 und 15.1.6, in denen eine kritische Sicherheitsanfälligkeit (CVE-2022-2992) behoben wurde, die es authentifizierten Benutzern ermöglicht, Remote-Code auf dem Server auszuführen. Wie bei der kürzlich behobenen Sicherheitsanfälligkeit CVE-2022-2884, ist das neue Problem im API zum Import von Daten aus dem GitHub-Dienst vorhanden. Die Sicherheitsanfälligkeit tritt auch in den Versionen 15.3.1, 15.2.3 und 15.1.5 auf, die die erste Sicherheitsanfälligkeit im Importcode von GitHub behoben wurden.
Details zur Ausnutzung liegen noch nicht vor. Die Informationen über die Sicherheitsanfälligkeit wurden im Rahmen des auf HackerOne laufenden Programms zur Belohnung für die Entdeckung von Sicherheitsanfälligkeiten an GitLab weitergeleitet, jedoch wurde das Problem im Gegensatz zum vorherigen von einem anderen Teilnehmer entdeckt. Als Workaround wird dem Administrator empfohlen, die Importfunktion von GitHub zu deaktivieren (im Web-Interface von GitLab: „Menu“ -> „Admin“ -> „Settings“ -> „General“ -> „Visibility and access controls“ -> „Import sources“ -> „GitHub“ deaktivieren).
Darüber hinaus wurden in den vorgeschlagenen Updates 14 weitere Sicherheitsanfälligkeiten behoben, von denen zwei als kritisch eingestuft sind, zehn einen mittleren Gefährdungsgrad haben und zwei als unbedenklich gelten. Kritisch sind die Sicherheitsanfälligkeiten CVE-2022-2865, die es ermöglicht, eigenen JavaScript-Code auf den von anderen Benutzern angezeigten Seiten über Manipulationen mit farbigen Markierungen hinzuzufügen, sowie die Sicherheitsanfälligkeit CVE-2022-2527, die es ermöglicht, eigenen Inhalt über das Beschreibungsfeld in der Vorfallskala (Incidents Timeline) zu unterbringen. Die Sicherheitsanfälligkeiten mittleren Gefährdungsgrades sind hauptsächlich mit der Möglichkeit eines Denial-of-Service-Angriffs verbunden.
Quelle: opennet.ru
