{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Second critical vulnerability in GitLab this week","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitLab ha pubblicato una nuova serie di aggiornamenti correttivi per la sua piattaforma di sviluppo collaborativo \u2014 15.3.2, 15.2.4 e 15.1.6, che risolvono una vulnerabilit\u00e0 critica (CVE-2022-2992) che consente a un utente autenticato di eseguire codice da remoto sul server. Come per la vulnerabilit\u00e0 CVE-2022-2884, risolta la settimana scorsa, il nuovo problema \u00e8 presente nell'API per l'importazione di dati dal servizio GitHub. La vulnerabilit\u00e0 si manifesta anche nelle versioni 15.3.1, 15.2.3 e 15.1.5, in cui era stata corretta la prima vulnerabilit\u00e0 nel codice di importazione da GitHub. <\/p>\n
I dettagli circa l'impatto dell'exploit non vengono forniti. Le informazioni sulla vulnerabilit\u00e0 sono state trasmesse a GitLab nell'ambito del programma di ricompensa per la scoperta di vulnerabilit\u00e0 attivo su HackerOne, ma a differenza del problema precedente, \u00e8 stata identificata da un altro partecipante. Come misura temporanea, si consiglia all'amministratore di disabilitare la funzione di importazione da GitHub (nell'interfaccia web di GitLab: \u00abMenu\u00bb -> \u00abAdmin\u00bb -> \u00abSettings\u00bb -> \u00abGeneral\u00bb -> \u00abVisibility and access controls\u00bb -> \u00abImport sources\u00bb -> disabilitare \u00abGitHub\u00bb). <\/p>\n
Inoltre, negli aggiornamenti proposti sono state corrette altre 14 vulnerabilit\u00e0, due delle quali sono contrassegnate come pericolose, dieci hanno un livello di pericolo medio e due sono considerate non pericolose. Sono state riconosciute come pericolose: la vulnerabilit\u00e0 CVE-2022-2865, che consente di aggiungere il proprio codice JavaScript alle pagine visualizzate da altri utenti mediante manipolazione delle etichette colorate, e la vulnerabilit\u00e0 CVE-2022-2527, che consente di inserire contenuti attraverso un campo di descrizione nella cronologia degli incidenti (Incidents Timeline). Le vulnerabilit\u00e0 di media gravit\u00e0 sono principalmente legate alla possibilit\u00e0 di effettuare un attacco di negazione del servizio. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"