{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Die zweite kritische Sicherheitsl\u00fccke in GitLab innerhalb einer Woche","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma GitLab hat eine neue Reihe von Updates f\u00fcr ihre Plattform zur gemeinsamen Entwicklung ver\u00f6ffentlicht \u2014 15.3.2, 15.2.4 und 15.1.6, die eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2022-2992) beheben, die es einem authentifizierten Benutzer erm\u00f6glicht, Code remote auf dem Server auszuf\u00fchren. Wie bei der Woche zuvor behobenen Schwachstelle CVE-2022-2884 ist das neue Problem in der API f\u00fcr den Import von Daten aus dem GitHub-Dienst vorhanden. Die Schwachstelle tritt auch in den Versionen 15.3.1, 15.2.3 und 15.1.5 auf, in denen die erste Schwachstelle im GitHub-Importcode behoben wurde. <\/p>\n
Details zur Ausnutzung werden bisher nicht bereitgestellt. Die Informationen \u00fcber die Schwachstelle wurden im Rahmen des laufenden HackerOne-Programms zur Belohnung f\u00fcr die Entdeckung von Sicherheitsanf\u00e4lligkeiten an GitLab \u00fcbermittelt, jedoch wurde sie im Gegensatz zum vorherigen Problem von einem anderen Teilnehmer entdeckt. Als Workaround wird dem Administrator empfohlen, die Importfunktion aus GitHub zu deaktivieren (im Web-Interface von GitLab: \u201eMenu\u201c -> \u201eAdmin\u201c -> \u201eSettings\u201c -> \u201eGeneral\u201c -> \u201eVisibility and access controls\u201c -> \u201eImport sources\u201c -> \u201eGitHub\u201c deaktivieren). <\/p>\n
Zus\u00e4tzlich wurden in den vorgeschlagenen Updates 14 Sicherheitsanf\u00e4lligkeiten behoben, von denen zwei als kritisch, zehn als mittel und zwei als gering eingestuft wurden. Zu den kritischen z\u00e4hlen: die Sicherheitsanf\u00e4lligkeit CVE-2022-2865, die es erm\u00f6glicht, eigenen JavaScript-Code in die von anderen Nutzern angezeigten Seiten einzuf\u00fcgen, indem farbige Tags manipuliert werden, sowie die Sicherheitsanf\u00e4lligkeit CVE-2022-2527, die es erlaubt, eigenen Inhalt \u00fcber das Beschreibungsfeld in der Vorfallanzeige (Incidents Timeline) einzuf\u00fcgen. Die als mittel eingestuften Sicherheitsanf\u00e4lligkeiten h\u00e4ngen haupts\u00e4chlich mit der M\u00f6glichkeit eines Dienstunterbrechungsangriffs zusammen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"