Korrekciós frissítések jelentek meg az együttműködési fejlesztések megszervezésére szolgáló platformon – a GitLab 16.7.2, 16.6.4 és 16.5.6, amelyek két kritikus biztonsági rést javítanak ki. Az első biztonsági rés (CVE-2023-7028), amelyhez a maximális súlyossági szint (10-ből 10) van hozzárendelve, lehetővé teszi valaki más fiókjának lefoglalását az elfelejtett jelszó-helyreállítási űrlap manipulálásával. A sérülékenységet az okozza, hogy ellenőrizetlen e-mail címekre küldhetnek egy jelszó-visszaállító kódot tartalmazó e-mailt. A probléma a GitLab 16.1.0 megjelenése óta jelentkezik, amely bevezette a jelszó-helyreállítási kód küldésének lehetőségét egy ellenőrizetlen tartalék e-mail címre.
A rendszerek kompromittálásának tényeinek ellenőrzéséhez javasolt a gitlab-rails/production_json.log naplóban értékelni a /users/password kezelőhöz intézett HTTP-kérések jelenlétét, amelyek több e-mail tömböt jeleznek a „params.value.email” fájlban. ” paramétert. Azt is javasoljuk, hogy ellenőrizze a gitlab-rails/audit_json.log naplóban a PasswordsController#create értékkel rendelkező bejegyzéseket a meta.caller.id fájlban, és több címből álló tömböt jelez a target_details blokkban. A támadást nem lehet befejezni, ha a felhasználó engedélyezi a kéttényezős hitelesítést.
A második biztonsági rés, a CVE-2023-5356, a Slack és Mattermost szolgáltatásokkal való integráció kódjában található, és lehetővé teszi a /-parancsok végrehajtását egy másik felhasználó alatt a megfelelő jogosultságellenőrzés hiánya miatt. A probléma súlyossági szintje 9.6-ből 10. Az új verziók egy kevésbé veszélyes (7.6-ből 10) sebezhetőséget is kiküszöbölnek (CVE-2023-4812), amely lehetővé teszi a CODEOWNERS jóváhagyásának megkerülését egy korábban jóváhagyott módosítás hozzáadásával. összevonási kérelem.
Az azonosított sebezhetőségekről a tervek szerint 30 nappal a javítás közzététele után hoznak nyilvánosságra részletes információkat. A sérülékenységeket a HackerOne sebezhetőségi jutalomprogramjának részeként nyújtották be a GitLabnak.
Forrás: opennet.ru