A GitLab cég közzétette legújabb javítási sorozatát együttműködési fejlesztési platformájukhoz - 15.3.2, 15.2.4 és 15.1.6, amelyben kijavították a kritikus sebezhetőséget (CVE-2022-2992), amely lehetővé teszi egy hitelesített felhasználó számára, hogy távolról kódot futtasson a szerveren. Ahogy a CVE-2022-2884 sebezhetőség, amelyet egy héttel ezelőtt javítottak, az új probléma is jelen van a GitHub-ból való adatimportálási API-ban. A sebezhetőség a 15.3.1, 15.2.3 és 15.1.5 kiadásokban is megnyilvánul, amelyekben az első GitHub importálási kódjában lévő sebezhetőséget javították.
A kihasználás részletei még nem állnak rendelkezésre. Az információt a GitLab felé juttatták el a HackerOne sebezhetőségi jutalmazási program keretében, de a múltbeli problémával ellentétben egy másik résztvevő azonosította. Mint kerülő megoldás, az adminisztrátornak javasolt letiltani a GitHub importálási funkciót (a GitLab webes felületén: „Menu” -> „Admin” -> „Settings” -> „General” -> „Visibility and access controls” -> „Import sources” -> tiltsa le a „GitHub”-ot).
Továbbá, a javasolt frissítések 14 másik sebezhetőséget is javítottak, ezek közül kettőt veszélyesnek, tizet közepes kockázatúnak, míg kettőt nem veszélyesnek minősítettek. Veszélyesnek minősül: a CVE-2022-2865 sebezhetőség, amely lehetővé teszi saját JavaScript-kód hozzáadását más felhasználóknak megjelenített oldalakhoz a színes címkék manipulálásával, valamint a CVE-2022-2527 sebezhetőség, amely lehetőséget ad arra, hogy saját tartalmat illesszenek be az Incidents Timeline leíró mezőjébe. A közepes szintű sebezhetőségek többsége szolgáltatásmegtagadás lehetőségekkel kapcsolatos.
Forrás: opennet.ru
