GitLab માં નબળાઈ જે રનર ટોકન્સને ઍક્સેસ કરવાની મંજૂરી આપે છે

સહયોગી વિકાસ પ્લેટફોર્મ GitLab 14.8.2, 14.7.4 અને 14.6.5 પરના સુધારાત્મક અપડેટ્સ એક ગંભીર નબળાઈ (CVE-2022-0735)ને દૂર કરે છે જે અનધિકૃત વપરાશકર્તાને GitLab રનરને હેન્ડલ કરવા માટે ઉપયોગમાં લેવાતા રજીસ્ટ્રેશન ટોકન્સ કાઢવાની મંજૂરી આપે છે. સતત એકીકરણ સિસ્ટમમાં પ્રોજેક્ટ કોડ બનાવતી વખતે. વિગતો હજી પૂરી પાડવામાં આવી નથી, માત્ર એટલું જ કે જ્યારે ક્વિક ઍક્શન કમાન્ડનો ઉપયોગ કરવામાં આવે ત્યારે માહિતી લીક થવાને કારણે સમસ્યા સર્જાય છે.

આ સમસ્યાને GitLab સ્ટાફ દ્વારા ઓળખવામાં આવી હતી અને તે 12.10 થી 14.6.5, 14.7 થી 14.7.4 અને 14.8 થી 14.8.2 સુધીના વર્ઝનને અસર કરે છે. કસ્ટમ ગિટલેબ ઇન્સ્ટોલેશન જાળવી રાખનારા વપરાશકર્તાઓને શક્ય તેટલી વહેલી તકે અપડેટ ઇન્સ્ટોલ કરવા અથવા પેચ લાગુ કરવાની સલાહ આપવામાં આવે છે. ક્વિક ઍક્શન કમાન્ડની ઍક્સેસને માત્ર લખવાની પરવાનગી ધરાવતા વપરાશકર્તાઓને જ પ્રતિબંધિત કરીને સમસ્યાનું નિરાકરણ કરવામાં આવ્યું હતું. અપડેટ અથવા વ્યક્તિગત "ટોકન-ઉપસર્ગ" પેચો ઇન્સ્ટોલ કર્યા પછી, જૂથો અને પ્રોજેક્ટ્સ માટે અગાઉ બનાવેલા રનરમાં નોંધણી ટોકન્સ ફરીથી સેટ અને પુનઃજનરેટ કરવામાં આવશે.

નિર્ણાયક નબળાઈ ઉપરાંત, નવા સંસ્કરણો 6 ઓછી ખતરનાક નબળાઈઓને પણ દૂર કરે છે જે બિનપ્રાપ્તિહીત વપરાશકર્તાને જૂથોમાં અન્ય વપરાશકર્તાઓને ઉમેરવા તરફ દોરી શકે છે, સ્નિપેટ્સની સામગ્રીની હેરફેર દ્વારા વપરાશકર્તાઓની ખોટી માહિતી, સેન્ડમેલ ડિલિવરી પદ્ધતિ દ્વારા પર્યાવરણ ચલોનું લિકેજ, GraphQL API દ્વારા વપરાશકર્તાઓની હાજરી નક્કી કરવી, પુલ મોડમાં SSH દ્વારા રિપોઝીટરીઝને પ્રતિબિંબિત કરતી વખતે પાસવર્ડ્સનું લિકેજ, ટિપ્પણી સબમિશન સિસ્ટમ દ્વારા DoS હુમલો.

સોર્સ: opennet.ru