{"id":103442,"date":"2022-02-27T09:36:43","date_gmt":"2022-02-27T07:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner"},"modified":"2022-02-27T09:36:43","modified_gmt":"2022-02-27T07:36:43","slug":"uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans GitLab permettant d'acc\u00e9der aux tokens Runner.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans les mises \u00e0 jour correctives de la plateforme de collaboration GitLab 14.8.2, 14.7.4 et 14.6.5, une vuln\u00e9rabilit\u00e9 critique (CVE-2022-0735) a \u00e9t\u00e9 corrig\u00e9e, permettant \u00e0 un utilisateur non autoris\u00e9 d'extraire des jetons d'enregistrement dans GitLab Runner, utilis\u00e9 pour invoquer des gestionnaires lors de la construction du code du projet dans un syst\u00e8me d'int\u00e9gration continue. Les d\u00e9tails ne sont pas encore fournis, il est seulement mentionn\u00e9 que le probl\u00e8me est caus\u00e9 par une fuite d'informations lors de l'utilisation des commandes Quick Actions. <\/p>\n
Un probl\u00e8me a \u00e9t\u00e9 identifi\u00e9 par les employ\u00e9s de GitLab et concerne les versions de 12.10 \u00e0 14.6.5, de 14.7 \u00e0 14.7.4, et de 14.8 \u00e0 14.8.2. Il est recommand\u00e9 aux utilisateurs qui g\u00e8rent leurs propres installations de GitLab d'installer la mise \u00e0 jour ou d'appliquer le patch d\u00e8s que possible. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu en restreignant l'acc\u00e8s aux commandes Quick Actions uniquement aux utilisateurs ayant des droits d'\u00e9criture. Apr\u00e8s l'installation de la mise \u00e0 jour ou des patches individuels \u00ab token-prefix \u00bb, les tokens d'enregistrement dans Runner pr\u00e9c\u00e9demment cr\u00e9\u00e9s pour les groupes et projets seront r\u00e9initialis\u00e9s et g\u00e9n\u00e9r\u00e9s \u00e0 nouveau. <\/p>\n
En plus de la vuln\u00e9rabilit\u00e9 critique, six vuln\u00e9rabilit\u00e9s moins graves ont \u00e9galement \u00e9t\u00e9 corrig\u00e9es dans les nouvelles versions, qui pourraient permettre \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'ajouter d'autres utilisateurs \u00e0 des groupes, de d\u00e9sinformer les utilisateurs par la manipulation du contenu des Snippets, de faire fuiter des variables d'environnement via la m\u00e9thode de livraison sendmail, de d\u00e9terminer la pr\u00e9sence d'utilisateurs via l'API GraphQL, de fuiter des mots de passe lors du mirroring de d\u00e9p\u00f4ts par SSH en mode pull, et de lancer des attaques DoS via le syst\u00e8me d'envoi de commentaires. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"