एक सप्ताह में GitLab में दूसरी गंभीर भेद्यता

GitLab ने सहयोगात्मक विकास के आयोजन के लिए अपने प्लेटफ़ॉर्म पर सुधारात्मक अद्यतनों की अगली श्रृंखला - 15.3.2, 15.2.4 और 15.1.6 प्रकाशित की है, जो एक महत्वपूर्ण भेद्यता (CVE-2022-2992) को समाप्त करती है जो एक प्रमाणित उपयोगकर्ता को दूरस्थ रूप से कोड निष्पादित करने की अनुमति देती है। सर्वर पर. CVE-2022-2884 भेद्यता की तरह, जिसे एक सप्ताह पहले ठीक किया गया था, GitHub सेवा से डेटा आयात करने के लिए API में एक नई समस्या मौजूद है। भेद्यता रिलीज़ 15.3.1, 15.2.3 और 15.1.5 में भी दिखाई देती है, जिसने GitHub से आयात कोड में पहली भेद्यता को ठीक किया।

परिचालन विवरण अभी तक प्रदान नहीं किया गया है। भेद्यता के बारे में जानकारी HackerOne के भेद्यता इनाम कार्यक्रम के हिस्से के रूप में GitLab को प्रस्तुत की गई थी, लेकिन पिछली समस्या के विपरीत, इसे किसी अन्य प्रतिभागी द्वारा पहचाना गया था। समाधान के रूप में, यह अनुशंसा की जाती है कि व्यवस्थापक GitHub से आयात फ़ंक्शन को अक्षम कर दे (GitLab वेब इंटरफ़ेस में: "मेनू" -> "एडमिन" -> "सेटिंग्स" -> "सामान्य" -> "दृश्यता और पहुंच नियंत्रण" - > "आयात स्रोत" -> "GitHub" अक्षम करें)।

इसके अलावा, प्रस्तावित अपडेट 14 और कमजोरियों को ठीक करते हैं, जिनमें से दो को खतरनाक के रूप में चिह्नित किया गया है, दस को मध्यम स्तर का खतरा सौंपा गया है, और दो को सौम्य के रूप में चिह्नित किया गया है। निम्नलिखित को खतरनाक माना गया है: भेद्यता CVE-2022-2865, जो आपको रंग लेबल में हेरफेर के माध्यम से अन्य उपयोगकर्ताओं को दिखाए गए पृष्ठों पर अपना स्वयं का जावास्क्रिप्ट कोड जोड़ने की अनुमति देता है, साथ ही भेद्यता CVE-2022-2527, जो इसे संभव बनाता है घटना स्केल टाइमलाइन में विवरण फ़ील्ड के माध्यम से अपनी सामग्री को प्रतिस्थापित करें)। मध्यम गंभीरता की कमज़ोरियाँ मुख्य रूप से सेवा से इनकार करने की संभावना से संबंधित हैं।

स्रोत: opennet.ru