{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Seconda vulnerabilit\u00e0 critica della settimana in GitLab","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La societ\u00e0 GitLab ha pubblicato una nuova serie di aggiornamenti correttivi per la sua piattaforma di collaborazione nello sviluppo - 15.3.2, 15.2.4 e 15.1.6, che risolvono una vulnerabilit\u00e0 crittica (CVE-2022-2992) consentendo a un utente autenticato di eseguire codice in remoto sul server. Come la vulnerabilit\u00e0 CVE-2022-2884, corregge l'aggiornamento di una settimana fa, il nuovo problema \u00e8 presente nell'API per l'importazione dei dati dal servizio GitHub. La vulnerabilit\u00e0 \u00e8 presente anche nelle versioni 15.3.1, 15.2.3 e 15.1.5, in cui era stata corretta la prima vulnerabilit\u00e0 nel codice di importazione da GitHub. <\/p>\n
I dettagli sull'esploit non sono ancora disponibili. L'informazione sulla vulnerabilit\u00e0 \u00e8 stata inviata a GitLab nell'ambito del programma di ricompense attivo su HackerOne per la scoperta di vulnerabilit\u00e0, ma a differenza del problema precedente, \u00e8 stata identificata da un altro partecipante. Come soluzione temporanea, si consiglia all'amministratore di disattivare la funzione di importazione da GitHub (nell'interfaccia web di GitLab: \u00abMenu\u00bb -> \u00abAdmin\u00bb -> \u00abSettings\u00bb -> \u00abGeneral\u00bb -> \u00abVisibility and access controls\u00bb -> \u00abImport sources\u00bb -> disattivare \u00abGitHub\u00bb). <\/p>\n
Inoltre, nei suddetti aggiornamenti sono state corrette altre 14 vulnerabilit\u00e0, due delle quali sono state etichettate come pericolose, dieci hanno ricevuto un livello di pericolo medio e due sono state contrassegnate come non pericolose. Sono state riconosciute pericolose: la vulnerabilit\u00e0 CVE-2022-2865, che consente di aggiungere il proprio codice JavaScript sulle pagine visualizzate da altri utenti attraverso la manipolazione delle etichette colorate, e la vulnerabilit\u00e0 CVE-2022-2527, che consente di inserire il proprio contenuto tramite il campo di descrizione nella timeline degli incidenti (Incidents Timeline). Le vulnerabilit\u00e0 di gravit\u00e0 media sono principalmente legate alla possibilit\u00e0 di causare un'interruzione del servizio. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"