GitLab में कमजोरियाँ जो खाता अपहरण और किसी अन्य उपयोगकर्ता के तहत आदेशों के निष्पादन की अनुमति देती हैं

सहयोगात्मक विकास के आयोजन के लिए मंच पर सुधारात्मक अद्यतन प्रकाशित किए गए हैं - GitLab 16.7.2, 16.6.4 और 16.5.6, जो दो महत्वपूर्ण कमजोरियों को ठीक करते हैं। पहली भेद्यता (सीवीई-2023-7028), जिसे अधिकतम गंभीरता स्तर (10 में से 10) सौंपा गया है, आपको भूले हुए पासवर्ड पुनर्प्राप्ति फॉर्म में हेरफेर के माध्यम से किसी और के खाते को जब्त करने की अनुमति देता है। यह भेद्यता असत्यापित ईमेल पतों पर पासवर्ड रीसेट कोड के साथ ईमेल भेजने की संभावना के कारण होती है। समस्या GitLab 16.1.0 के रिलीज़ होने के बाद से दिखाई दे रही है, जिसने एक असत्यापित बैकअप ईमेल पते पर पासवर्ड रिकवरी कोड भेजने की क्षमता पेश की है।

सिस्टम के समझौते के तथ्यों की जांच करने के लिए, gitlab-rails/production_json.log लॉग में /users/password हैंडलर के लिए HTTP अनुरोधों की उपस्थिति का मूल्यांकन करने का प्रस्ताव है, जो "params.value.email" में कई ईमेल की एक श्रृंखला का संकेत देता है। "पैरामीटर. मेटा.कॉलर.आईडी में पासवर्डकंट्रोलर#क्रिएट मान के साथ gitlab-rails/audit_json.log लॉग में प्रविष्टियों की जांच करने और target_details ब्लॉक में कई पतों की एक सरणी का संकेत देने का भी सुझाव दिया गया है। यदि उपयोगकर्ता दो-कारक प्रमाणीकरण सक्षम करता है तो हमला पूरा नहीं किया जा सकता है।

दूसरी भेद्यता, CVE-2023-5356, स्लैक और मैटरमोस्ट सेवाओं के साथ एकीकरण के लिए कोड में मौजूद है, और उचित प्राधिकरण जांच की कमी के कारण आपको किसी अन्य उपयोगकर्ता के तहत /-कमांड निष्पादित करने की अनुमति देती है। समस्या को 9.6 में से 10 का गंभीरता स्तर सौंपा गया है। नए संस्करण कम खतरनाक (7.6 में से 10) भेद्यता (सीवीई-2023-4812) को भी खत्म करते हैं, जो आपको पहले से स्वीकृत परिवर्तनों को जोड़कर कोडओनर्स अनुमोदन को बायपास करने की अनुमति देता है। मर्ज अनुरोध.

पहचानी गई कमजोरियों के बारे में विस्तृत जानकारी फिक्स के प्रकाशन के 30 दिन बाद प्रकट करने की योजना है। हैकरवन के भेद्यता इनाम कार्यक्रम के हिस्से के रूप में कमजोरियाँ GitLab को प्रस्तुत की गईं।

स्रोत: opennet.ru