{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"La segunda vulnerabilidad cr\u00edtica de la semana en GitLab","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa GitLab ha publicado una nueva serie de actualizaciones correctivas para su plataforma de desarrollo colaborativo \u2014 15.3.2, 15.2.4 y 15.1.6, en las cuales se ha abordado una vulnerabilidad cr\u00edtica (CVE-2022-2992) que permite a un usuario autenticado ejecutar c\u00f3digo de forma remota en el servidor. Al igual que la vulnerabilidad CVE-2022-2884, corregida la semana pasada, el nuevo problema se encuentra en la API para la importaci\u00f3n de datos desde el servicio GitHub. La vulnerabilidad tambi\u00e9n se manifiesta en las versiones 15.3.1, 15.2.3 y 15.1.5, que ya hab\u00edan corregido la primera vulnerabilidad en el c\u00f3digo de importaci\u00f3n de GitHub. <\/p>\n
No se proporcionan detalles sobre la explotaci\u00f3n por el momento. La informaci\u00f3n sobre la vulnerabilidad ha sido enviada a GitLab como parte del programa activo de recompensas por la detecci\u00f3n de vulnerabilidades en HackerOne, pero a diferencia del problema anterior, fue identificada por otro participante. Como soluci\u00f3n alternativa, se recomienda al administrador desactivar la funci\u00f3n de importaci\u00f3n desde GitHub (en la interfaz web de GitLab: \u00abMen\u00fa\u00bb -> \u00abAdministrador\u00bb -> \u00abConfiguraci\u00f3n\u00bb -> \u00abGeneral\u00bb -> \u00abControles de visibilidad y acceso\u00bb -> \u00abFuentes de importaci\u00f3n\u00bb -> desactivar \u00abGitHub\u00bb). <\/p>\n
Adem\u00e1s, en las actualizaciones propuestas se han corregido 14 vulnerabilidades m\u00e1s, de las cuales dos est\u00e1n clasificadas como cr\u00edticas, diez tienen un nivel de peligro medio y dos se consideran no peligrosas. Las cr\u00edticas son: la vulnerabilidad CVE-2022-2865, que permite a\u00f1adir JavaScript propio a las p\u00e1ginas que se muestran a otros usuarios mediante la manipulaci\u00f3n de etiquetas de color, y la vulnerabilidad CVE-2022-2527, que permite inyectar contenido propio a trav\u00e9s del campo de descripci\u00f3n en la l\u00ednea de tiempo de incidentes (Incidents Timeline). Las vulnerabilidades de nivel medio est\u00e1n relacionadas principalmente con la posibilidad de provocar una denegaci\u00f3n de servicio. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"