A GitLab 14.7.7, 14.8.5 és 14.9.2-es verziók közötti javítófrissítésekben egy kritikus biztonsági rés (CVE-2022-1162) került kijavításra, amely a hardcoded jelszavak fiókokhoz való hozzárendeléséhez kapcsolódik, amelyeket az OmniAuth (OAuth, LDAP és SAML) szolgáltatóval regisztráltak. Ez a hiba potenciálisan lehetővé teszi a támadó számára, hogy hozzáférjen a fiókhoz. Minden felhasználónak sürgősen frissítenie kell. A probléma részletei jelenleg nem nyilvánosak. Azok számára, akiknek a fiókjai érintettek voltak, kezdeményezték a jelszavak nullázását. A problémát a GitLab munkatársai fedezték fel, és a vizsgálat nem tárt fel felhasználói kompromittálódásra utaló nyomokat.
Az új verziókban további 16 sérülékenységet is javítottak, amelyek közül 2 súlyosnak, 9 közepesnek és 5 kisebbnek minősül. A súlyos problémák között szerepel a HTML kód (XSS) injektálásának lehetősége a megjegyzésekbe (CVE-2022-1175) és a kommentárokba/ismertetőkbe a issue-kban (CVE-2022-1190).
Forrás: opennet.ru
