Die zweite kritische Sicherheitslücke in GitLab innerhalb einer Woche

Das Unternehmen GitLab hat eine weitere Reihe von Korrekturupdates für seine Plattform zur gemeinsamen Entwicklung veröffentlicht – 15.3.2, 15.2.4 und 15.1.6 –, die eine kritische Sicherheitsanfälligkeit (CVE-2022-2992) beseitigen, die es authentifizierten Benutzern ermöglicht, Code auf dem Server aus der Ferne auszuführen. Wie auch die Sicherheitsanfälligkeit CVE-2022-2884, die vor einer Woche behoben wurde, tritt das neue Problem in der API für den Datenimport aus dem GitHub-Dienst auf. Die Sicherheitsanfälligkeit zeigt sich auch in den Versionen 15.3.1, 15.2.3 und 15.1.5, in denen die erste Anfälligkeit im Code für den Import aus GitHub behoben wurde.

Details zur Ausnutzung werden bisher nicht mitgeteilt. Informationen über die Sicherheitsanfälligkeit wurden im Rahmen des bestehenden Belohnungsprogramms für die Entdeckung von Schwachstellen auf HackerOne an GitLab übermittelt, jedoch wurde das Problem im Gegensatz zum vorherigen Vorfall von einem anderen Teilnehmer entdeckt. Als vorübergehende Maßnahme wird den Administratoren geraten, die Importfunktion von GitHub zu deaktivieren (im Web-Interface von GitLab: „Menü“ -> „Admin“ -> „Einstellungen“ -> „Allgemein“ -> „Sichtbarkeit und Zugriffskontrollen“ -> „Importquellen“ -> „GitHub“ deaktivieren).

Zusätzlich wurden in den vorgeschlagenen Updates 14 Sicherheitsanfälligkeiten behoben, von denen zwei als kritisch, zehn als mittel und zwei als gering eingestuft wurden. Zu den kritischen zählen: die Sicherheitsanfälligkeit CVE-2022-2865, die es ermöglicht, eigenen JavaScript-Code in die von anderen Nutzern angezeigten Seiten einzufügen, indem farbige Tags manipuliert werden, sowie die Sicherheitsanfälligkeit CVE-2022-2527, die es erlaubt, eigenen Inhalt über das Beschreibungsfeld in der Vorfallanzeige (Incidents Timeline) einzufügen. Die als mittel eingestuften Sicherheitsanfälligkeiten hängen hauptsächlich mit der Möglichkeit eines Dienstunterbrechungsangriffs zusammen.

Quelle: opennet.ru