Nädala teine kriitiline haavatavus GitLabis

GitLab on avaldanud uue seeria parandusi oma koostööpõhise arenduse platvormile — 15.3.2, 15.2.4 ja 15.1.6, milles on kõrvaldatud kriitiline haavatavus (CVE-2022-2992), mis võimaldab autentitud kasutajal kaugelt koodi serveris käivitada. Nagu nädal tagasi parandatud haavatavuse CVE-2022-2884 puhul, esineb ka uus probleem GitHubi andmete impordi API-s. Haavatavus ilmneb ka versioonides 15.3.1, 15.2.3 ja 15.1.5, kus esimene GitHubi impordikoodiga seotud haavatavus oli parandatud.

Haavatavuse ärakasutamise üksikasjad ei ole veel avalikustatud. Haavatavuse teave on edastatud GitLabile oma HackerOne platvormi kaudu, mille raames makstakse haavatavuse avastamise eest preemiaid, kuid erinevalt eelmisest probleemist avastas selle teise osaleja. Ümbersuunamiseks soovitatakse administraatoril keelata GitHubi impordifunktsioon (GitLabi veebiliideses: "Menüü" -> "Admin" -> "Seaded" -> "Üldine" -> "Nähtavus ja juurdepääsukontrollid" -> "Impordiallikad" -> keelata "GitHub").

Lisaks parandatakse pakutavates värskendustes veel 14 haavatavust, millest kaks on märgistatud ohtlikeks, kümme on keskmise ohu tasemega ja kaks on märgitud mitteohtlikeks. Ohtlikeks on tunnistatud: haavatavus CVE-2022-2865, mis võimaldab lisada oma JavaScripti koodi teistele kasutajatele kuvatavatele lehtedele värviliste siltide manipuleerimise kaudu, samuti haavatavus CVE-2022-2527, mis võimaldab asendada oma sisu sündmuste ajaskaala (Incidents Timeline) kirjelduse välja kaudu. Keskmise ohu tasemega haavatavused on peamiselt seotud teenuse katkestamise võimalusega.

Allikas: opennet.ru