{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Zweite kritische Sicherheitsl\u00fccke in GitLab in dieser Woche","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen GitLab hat eine Reihe von Korrekturupdates f\u00fcr seine Plattform zur Organisation der Zusammenarbeit ver\u00f6ffentlicht \u2013 15.3.2, 15.2.4 und 15.1.6. In diesen Updates wurde eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2022-2992) behoben, die es einem authentifizierten Benutzer erm\u00f6glicht, Schadcode auf dem Server auszuf\u00fchren. Wie die bereits letzte Woche behobene Sicherheitsanf\u00e4lligkeit CVE-2022-2884, tritt auch dieses neue Problem in der API f\u00fcr den Import von Daten aus dem GitHub-Service auf. Die Sicherheitsanf\u00e4lligkeit betrifft unter anderem die Versionen 15.3.1, 15.2.3 und 15.1.5, in denen die erste Sicherheitsanf\u00e4lligkeit im GitHub-Importcode behoben wurde. <\/p>\n
Details zur Ausnutzung werden derzeit nicht bereitgestellt. Die Informationen \u00fcber die Sicherheitsanf\u00e4lligkeit wurden im Rahmen des bestehenden Programms zur Belohnung von Sicherheitsforschern auf HackerOne an GitLab \u00fcbermittelt, jedoch wurde sie im Gegensatz zum vorherigen Problem von einem anderen Teilnehmer entdeckt. Als \u00dcbergangsl\u00f6sung wird dem Administrator empfohlen, die Importfunktion aus GitHub zu deaktivieren (im Web-Interface von GitLab: \u201eMen\u00fc\u201c -> \u201eAdmin\u201c -> \u201eEinstellungen\u201c -> \u201eAllgemein\u201c -> \u201eSichtbarkeit und Zugriffskontrollen\u201c -> \u201eImportquellen\u201c -> \u201eGitHub\u201c deaktivieren). <\/p>\n
Dar\u00fcber hinaus wurden in den vorgeschlagenen Updates 14 weitere Sicherheitsanf\u00e4lligkeiten behoben, von denen zwei als kritisch eingestuft sind, zehn einen mittleren Gef\u00e4hrdungsgrad haben und zwei als unbedenklich gelten. Kritisch sind die Sicherheitsanf\u00e4lligkeiten CVE-2022-2865, die es erm\u00f6glicht, eigenen JavaScript-Code auf den von anderen Benutzern angezeigten Seiten \u00fcber Manipulationen mit farbigen Markierungen hinzuzuf\u00fcgen, sowie die Sicherheitsanf\u00e4lligkeit CVE-2022-2527, die es erm\u00f6glicht, eigenen Inhalt \u00fcber das Beschreibungsfeld in der Vorfallskala (Incidents Timeline) zu unterbringen. Die Sicherheitsanf\u00e4lligkeiten mittleren Gef\u00e4hrdungsgrades sind haupts\u00e4chlich mit der M\u00f6glichkeit eines Denial-of-Service-Angriffs verbunden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"