Dans les mises à jour correctives de la plateforme de collaboration GitLab 15.3.1, 15.2.3 et 15.1.5, une vulnérabilité critique (CVE-2022-2884) a été corrigée, permettant à un utilisateur authentifié ayant accès à l'API d'importation de données depuis GitHub, d'exécuter du code à distance sur le serveur. Les détails de l'exploitation ne sont pas encore fournis. La vulnérabilité a été découverte par un chercheur en sécurité dans le cadre du programme de récompenses de HackerOne.
En attendant, il est recommandé à l'administrateur de désactiver la fonction d'importation depuis GitHub (dans l'interface web de GitLab : « Menu » -> « Admin » -> « Paramètres » -> « Général » -> « Visibilité et contrôles d'accès » -> « Sources d'importation » -> désactiver « GitHub »).
Source : opennet.ru
