Negli aggiornamenti correttivi della piattaforma per la collaborazione, GitLab 14.7.7, 14.8.5 e 14.9.2, è stata risolta una vulnerabilità critica (CVE-2022-1162) correlata all'impostazione di password hardcoded per gli account registrati tramite il provider OmniAuth (OAuth, LDAP e SAML). Questa vulnerabilità consente potenzialmente a un attaccante di accedere all'account. Si raccomanda a tutti gli utenti di aggiornare urgentemente. I dettagli del problema non sono attualmente divulgati. Per gli utenti le cui credenziali sono state compromesse, è stata avviata una procedura di ripristino delle password. Il problema è stato identificato dal personale di GitLab e le indagini condotte non hanno rivelato tracce di compromissione degli utenti.
Nelle nuove versioni sono state corrette anche ulteriori 16 vulnerabilità, di cui 2 classificate come critiche, 9 come moderate e 5 come minori. Tra i problemi critici vi è la possibilità di iniezione di codice HTML (XSS) nelle note (CVE-2022-1175) e nei commenti/descrizioni delle issue (CVE-2022-1190).
Fonte: opennet.ru
