Teine kriitiline turvaprobleem GitLabis selle nädala jooksul

GitLabi on välja lasknud uue hulga parandusi oma koostööplatvormile — 15.3.2, 15.2.4 ja 15.1.6, milles on kõrvaldatud kriitiline haavatavus (CVE-2022-2992), mis võimaldab autentitud kasutajal kaugelt koodi serveris täita. Nagu ka CVE-2022-2884 haavatavus, mis parandati nädal tagasi, esineb uus probleem GitHubi andmete importimise API-s. Haavatavus on esindatud ka väljaannetes 15.3.1, 15.2.3 ja 15.1.5, kus parandati esmane haavatavus GitHubi impordikoodis.

Rohkem teavet haavatavuse kasutamise kohta hetkel ei ole esitatud. Teave haavatavuse kohta edastati GitLabile HackerOnei kaudu, mis on valmis teenima rahalisi preemiaid haavatavuste avastamise eest, kuid erinevalt eelmisest probleemist tuvastati see teise osaleja poolt. Administratsioonile soovitatakse lahendusena välja lülitada GitHubi impordifunktsioon (GitLabi veebiliideses: „Menüü” -> „Admin” -> „Seaded” -> „Üldine” -> „Nähtavus ja juurdepääsukontroll” -> „Importimise allikad” -> lülitage välja „GitHub”).

Lisaks on soovitatud värskendustes parandatud veel 14 haavatavust, millest kaks on märgitud ohtlikeks, kümme on klassifitseeritud mõõduka riskiga ja kaks on madala riskiga. Ohtlikeks loetakse: haavatavus CVE-2022-2865, mis võimaldab sisestada oma JavaScripti koodi teistele kasutajatele nähtavatesse lehtedesse värviliste siltide manipuleerimise kaudu, samuti haavatavus CVE-2022-2527, mis võimaldab oma sisu sisestada intsidentide ajaskaala (Incidents Timeline) kirjeldusvälja kaudu. Mõõduka riski haavatavused on peamiselt seotud teenuse keeldumise võimalustega.

Allikas: opennet.ru