A GitLab közzétette a következő korrekciós frissítések sorozatát az együttműködési fejlesztések megszervezésére szolgáló platformjához – 15.3.2, 15.2.4 és 15.1.6, amelyek kiküszöbölnek egy kritikus biztonsági rést (CVE-2022-2992), amely lehetővé teszi a hitelesített felhasználó számára, hogy távolról futtasson kódot a szerveren. A CVE-2022-2884 biztonsági réshez hasonlóan, amelyet egy hete javítottak ki, egy új probléma jelent meg a GitHub szolgáltatásból származó adatok importálására szolgáló API-ban. A sérülékenység a 15.3.1-es, 15.2.3-as és 15.1.5-ös kiadásokban is megjelenik, amelyek a GitHubból importált kód első sérülékenységét javították.
A működési részleteket még nem közölték. A sérülékenységgel kapcsolatos információkat a HackerOne sebezhetőségi jutalomprogramjának részeként küldték el a GitLabnak, de az előző problémától eltérően egy másik résztvevő azonosította azt. Kerülő megoldásként azt javasoljuk, hogy a rendszergazda tiltsa le az importálási funkciót a GitHubból (a GitLab webes felületén: „Menü” -> „Adminisztráció” -> „Beállítások” -> „Általános” -> „Láthatóság és hozzáférés vezérlése” - > "Források importálása" -> tiltsa le a "GitHub" lehetőséget).
Ezen kívül a javasolt frissítések további 14 sebezhetőséget javítanak ki, amelyek közül kettőt veszélyesnek, tízet közepes veszélyességűnek, kettőt pedig jóindulatúnak minősítenek. A következőket veszélyesnek ismerik el: CVE-2022-2865 biztonsági rés, amely lehetővé teszi saját JavaScript-kód hozzáadását a más felhasználóknak megjelenített oldalakhoz a színcímkék manipulálásával, valamint a CVE-2022-2527 biztonsági rés, amely lehetővé teszi a helyettesítheti a tartalmat az események skála idővonalának leírása mezőjében). A mérsékelt súlyosságú biztonsági rések elsősorban a szolgáltatásmegtagadás lehetőségével kapcsolatosak.
Forrás: opennet.ru