Publicáronse actualizacións correctivas da plataforma para organizar o desenvolvemento colaborativo - GitLab 16.7.2, 16.6.4 e 16.5.6, que corrixen dúas vulnerabilidades críticas. A primeira vulnerabilidade (CVE-2023-7028), á que se lle asigna o nivel de gravidade máximo (10 sobre 10), permítelle aproveitar a conta doutra persoa mediante a manipulación do formulario de recuperación do contrasinal esquecido. A vulnerabilidade é causada pola posibilidade de enviar un correo electrónico cun código de restablecemento de contrasinal a enderezos de correo electrónico non verificados. O problema aparece dende o lanzamento de GitLab 16.1.0, que introduciu a posibilidade de enviar un código de recuperación de contrasinal a un enderezo de correo electrónico de copia de seguranza non verificado.
Para comprobar os feitos de compromiso dos sistemas, proponse avaliar no rexistro gitlab-rails/production_json.log a presenza de solicitudes HTTP ao manejador /users/password indicando unha matriz de varios correos electrónicos no "params.value.email". ” parámetro. Tamén se suxire comprobar as entradas no rexistro de gitlab-rails/audit_json.log co valor PasswordsController#create en meta.caller.id e indicando unha matriz de varios enderezos no bloque target_details. O ataque non se pode completar se o usuario activa a autenticación de dous factores.
A segunda vulnerabilidade, CVE-2023-5356, está presente no código para a integración cos servizos Slack e Mattermost, e permítelle executar /-comandos baixo outro usuario debido á falta de verificación de autorización adecuada. Ao problema asígnaselle un nivel de gravidade de 9.6 sobre 10. As novas versións tamén eliminan unha vulnerabilidade menos perigosa (7.6 sobre 10) (CVE-2023-4812), que che permite evitar a aprobación de CODEOWNERS engadindo cambios a unha vulnerabilidade previamente aprobada. solicitude de fusión.
Está previsto que se divulgue información detallada sobre as vulnerabilidades identificadas 30 días despois da publicación da corrección. As vulnerabilidades foron enviadas a GitLab como parte do programa de recompensas por vulnerabilidade de HackerOne.
Fonte: opennet.ru