GitLab ha pubblicato la prossima serie di aggiornamenti correttivi alla sua piattaforma per l'organizzazione dello sviluppo collaborativo - 15.3.2, 15.2.4 e 15.1.6, che eliminano una vulnerabilità critica (CVE-2022-2992) che consente a un utente autenticato di eseguire codice in remoto sul server. Come la vulnerabilità CVE-2022-2884, che è stata risolta una settimana fa, anche nell'API per l'importazione dei dati dal servizio GitHub è presente un nuovo problema. La vulnerabilità appare anche nelle versioni 15.3.1, 15.2.3 e 15.1.5, che hanno risolto la prima vulnerabilità nel codice di importazione da GitHub.
I dettagli operativi non sono stati ancora forniti. Le informazioni sulla vulnerabilità sono state inviate a GitLab come parte del programma di ricompensa delle vulnerabilità di HackerOne, ma a differenza del problema precedente, sono state identificate da un altro partecipante. Come soluzione alternativa, si consiglia all'amministratore di disabilitare la funzione di importazione da GitHub (nell'interfaccia web di GitLab: “Menu” -> “Amministratore” -> “Impostazioni” -> “Generale” -> “Visibilità e controlli di accesso” - > “Importa sorgenti” -> disabilita "GitHub").
Inoltre, gli aggiornamenti proposti risolvono altre 14 vulnerabilità, due delle quali contrassegnate come pericolose, dieci con un livello di pericolo medio e due contrassegnate come benigne. Sono riconosciute come pericolose: la vulnerabilità CVE-2022-2865, che consente di aggiungere il proprio codice JavaScript alle pagine mostrate ad altri utenti attraverso la manipolazione delle etichette colorate, nonché la vulnerabilità CVE-2022-2527, che consente di sostituire il contenuto tramite il campo descrizione nella sequenza temporale della scala Incidenti). Le vulnerabilità di gravità moderata sono principalmente legate alla possibilità di negazione del servizio.
Fonte: opennet.ru