Tvrtka GitLab objavila je novu seriju ispravnih ažuriranja svoje platforme za suradnički razvoj — 15.3.2, 15.2.4 i 15.1.6, koja uklanjaju kritičnu ranjivost (CVE-2022-2992) koja omogućava autentificiranom korisniku da udaljeno izvrši kod na poslužitelju. Kao i ranjivost CVE-2022-2884, koja je ispravljena prije tjedan dana, novi problem prisutan je u API-ju za uvoz podataka iz usluge GitHub. Ranjivost se također pojavljuje u izdanjima 15.3.1, 15.2.3 i 15.1.5, u kojima je ispravljena prva ranjivost u kodu uvoza iz GitHub-a.
Detalji o eksploataciji još nisu pruženi. Informacije o ranjivosti proslijeđene su GitLabu u okviru aktivnog programa na platformi HackerOne za isplatu nagrada za otkrivanje ranjivosti, ali za razliku od prethodnog problema, otkriven je od strane drugog sudionika. Kao zaobilazno rješenje, adminima se preporučuje da isključe funkciju uvoza iz GitHub-a (u web sučelju GitLab: „Izbornik“ -> „Admin“ -> „Postavke“ -> „Opće“ -> „Vidljivost i kontrole pristupa“ -> „Izvori uvoza“ -> isključiti „GitHub“).
Osim toga, u predloženim ažuriranjima ispravljeno je još 14 ranjivosti, od kojih su dvije označene kao opasne, deset ima srednju razinu opasnosti, a dvije su označene kao bezopasne. Opasnima su proglašene: ranjivost CVE-2022-2865, koja omogućava dodavanje vlastitog JavaScript koda na stranice koje drugi korisnici vide putem manipulacije s obojenim oznakama, kao i ranjivost CVE-2022-2527, koja omogućuje umetanje vlastitog sadržaja kroz opisno polje na kronološkoj skali incidenata (Incident Timeline). Ranjivosti srednje razine opasnosti uglavnom su povezane s mogućnošću izazivanja odbijanja usluge.
Izvor: opennet.ru
