Nelle versioni correttive della piattaforma di sviluppo collaborativo GitLab 15.3.1, 15.2.3 e 15.1.5 è stata corretta una vulnerabilità critica (CVE-2022-2884) che consente a un utente autenticato, con accesso all'API per l'importazione di dati da GitHub, di eseguire codice da remoto sul server. Ulteriori dettagli sull'exploitation non sono ancora disponibili. La vulnerabilità è stata identificata da un ricercatore di sicurezza nell'ambito del programma di ricompense per la scoperta di vulnerabilità attivo su HackerOne.
Come soluzione temporanea, si consiglia all'amministratore di disattivare la funzione di importazione da GitHub (nell'interfaccia web di GitLab: «Menu» -> «Admin» -> «Settings» -> «General» -> «Visibility and access controls» -> «Import sources» -> disattivare «GitHub»).
Fonte: opennet.ru
