GitLab में भेद्यता जो रनर टोकन तक पहुंच की अनुमति देती है

सहयोगी विकास प्लेटफ़ॉर्म GitLab 14.8.2, 14.7.4 और 14.6.5 के सुधारात्मक अपडेट एक महत्वपूर्ण भेद्यता (CVE-2022-0735) को समाप्त करते हैं जो एक अनधिकृत उपयोगकर्ता को GitLab रनर में पंजीकरण टोकन निकालने की अनुमति देता है, जिसका उपयोग हैंडलर को कॉल करने के लिए किया जाता है। सतत एकीकरण प्रणाली में प्रोजेक्ट कोड बनाते समय। विवरण अभी तक प्रदान नहीं किया गया है, केवल यह कि समस्या त्वरित कार्रवाई आदेशों का उपयोग करते समय सूचना रिसाव के कारण होती है।

समस्या की पहचान GitLab स्टाफ द्वारा की गई थी और यह संस्करण 12.10 से 14.6.5, 14.7 से 14.7.4 और 14.8 से 14.8.2 को प्रभावित करती है। कस्टम GitLab इंस्टॉलेशन बनाए रखने वाले उपयोगकर्ताओं को सलाह दी जाती है कि वे जल्द से जल्द अपडेट इंस्टॉल करें या पैच लागू करें। केवल लिखने की अनुमति वाले उपयोगकर्ताओं के लिए त्वरित कार्रवाई आदेशों तक पहुंच को प्रतिबंधित करके समस्या का समाधान किया गया था। अद्यतन या व्यक्तिगत "टोकन-उपसर्ग" पैच स्थापित करने के बाद, समूहों और परियोजनाओं के लिए पहले बनाए गए रनर में पंजीकरण टोकन रीसेट और पुनर्जीवित किए जाएंगे।

महत्वपूर्ण भेद्यता के अलावा, नए संस्करण 6 कम खतरनाक कमजोरियों को भी खत्म करते हैं, जिसके कारण एक वंचित उपयोगकर्ता अन्य उपयोगकर्ताओं को समूहों में जोड़ सकता है, स्निपेट्स की सामग्री में हेरफेर के माध्यम से उपयोगकर्ताओं की गलत जानकारी, सेंडमेल डिलीवरी विधि के माध्यम से पर्यावरण चर का रिसाव, ग्राफक्यूएल एपीआई के माध्यम से उपयोगकर्ताओं की उपस्थिति का निर्धारण, पुल मोड में एसएसएच के माध्यम से रिपॉजिटरी को मिरर करते समय पासवर्ड का रिसाव, टिप्पणी सबमिशन सिस्टम के माध्यम से डीओएस हमला।

स्रोत: opennet.ru