Das Unternehmen GitLab hat eine neue Serie von Korrekturupdates seiner Plattform fĂŒr die Organisation der gemeinsamen Entwicklung veröffentlicht - 15.3.2, 15.2.4 und 15.1.6, in denen eine kritische SicherheitsanfĂ€lligkeit (CVE-2022-2992) behoben wurde, die es authentifizierten Benutzern ermöglicht, Remote-Code auf dem Server auszufĂŒhren. Wie bei der kĂŒrzlich behobenen SicherheitsanfĂ€lligkeit CVE-2022-2884, ist das neue Problem im API zum Import von Daten aus dem GitHub-Dienst vorhanden. Die SicherheitsanfĂ€lligkeit tritt auch in den Versionen 15.3.1, 15.2.3 und 15.1.5 auf, die die erste SicherheitsanfĂ€lligkeit im Importcode von GitHub behoben wurden.
Details zur Ausnutzung liegen noch nicht vor. Die Informationen ĂŒber die SicherheitsanfĂ€lligkeit wurden im Rahmen des auf HackerOne laufenden Programms zur Belohnung fĂŒr die Entdeckung von SicherheitsanfĂ€lligkeiten an GitLab weitergeleitet, jedoch wurde das Problem im Gegensatz zum vorherigen von einem anderen Teilnehmer entdeckt. Als Workaround wird dem Administrator empfohlen, die Importfunktion von GitHub zu deaktivieren (im Web-Interface von GitLab: âMenuâ -> âAdminâ -> âSettingsâ -> âGeneralâ -> âVisibility and access controlsâ -> âImport sourcesâ -> âGitHubâ deaktivieren).
DarĂŒber hinaus wurden in den vorgeschlagenen Updates 14 weitere SicherheitsanfĂ€lligkeiten behoben, von denen zwei als kritisch eingestuft sind, zehn einen mittleren GefĂ€hrdungsgrad haben und zwei als unbedenklich gelten. Kritisch sind die SicherheitsanfĂ€lligkeiten CVE-2022-2865, die es ermöglicht, eigenen JavaScript-Code auf den von anderen Benutzern angezeigten Seiten ĂŒber Manipulationen mit farbigen Markierungen hinzuzufĂŒgen, sowie die SicherheitsanfĂ€lligkeit CVE-2022-2527, die es ermöglicht, eigenen Inhalt ĂŒber das Beschreibungsfeld in der Vorfallskala (Incidents Timeline) zu unterbringen. Die SicherheitsanfĂ€lligkeiten mittleren GefĂ€hrdungsgrades sind hauptsĂ€chlich mit der Möglichkeit eines Denial-of-Service-Angriffs verbunden.
Quelle: opennet.ru
