GitLab ha rilasciato una nuova serie di aggiornamenti correttivi per la sua piattaforma di collaborazione nello sviluppo — 15.3.2, 15.2.4 e 15.1.6, che risolvono una vulnerabilità critica (CVE-2022-2992) che consente a un utente autenticato di eseguire codice in remoto sul server. Come la vulnerabilità CVE-2022-2884, corretta una settimana fa, il nuovo problema è presente nell'API per l'importazione dei dati dal servizio GitHub. La vulnerabilità si manifesta anche nelle versioni 15.3.1, 15.2.3 e 15.1.5, dove è stata risolta la prima vulnerabilità nel codice di importazione da GitHub.
I dettagli sull'esploit non sono attualmente disponibili. Le informazioni sulla vulnerabilità sono state trasmesse a GitLab nell'ambito del programma attivo su HackerOne per la ricompensa delle vulnerabilità scoperte, ma a differenza del problema precedente, sono state individuate da un altro partecipante. Come soluzione alternativa, si consiglia agli amministratori di disabilitare la funzione di importazione da GitHub (nell'interfaccia web di GitLab: «Menu» -> «Admin» -> «Settings» -> «General» -> «Visibility and access controls» -> «Import sources» -> disabilitare «GitHub»).
Inoltre, negli aggiornamenti proposti sono state corrette altre 14 vulnerabilità, due delle quali sono contrassegnate come pericolose, dieci hanno un livello di pericolo medio e due sono considerate non pericolose. Sono state riconosciute come pericolose: la vulnerabilità CVE-2022-2865, che consente di aggiungere il proprio codice JavaScript alle pagine visualizzate da altri utenti mediante manipolazione delle etichette colorate, e la vulnerabilità CVE-2022-2527, che consente di inserire contenuti attraverso un campo di descrizione nella cronologia degli incidenti (Incidents Timeline). Le vulnerabilità di media gravità sono principalmente legate alla possibilità di effettuare un attacco di negazione del servizio.
Fonte: opennet.ru
