פגיעות ב-GitLab המאפשרת גישה לאסימוני Runner

עדכונים מתקינים לפלטפורמת הפיתוח השיתופי GitLab 14.8.2, 14.7.4 ו- 14.6.5 מבטלים פגיעות קריטית (CVE-2022-0735) המאפשרת למשתמש לא מורשה לחלץ אסימוני רישום ב-GitLab Runner, המשמש לקריאה למטפלים בעת בניית קוד פרויקט במערכת אינטגרציה רציפה. פרטים עדיין לא נמסרו, רק שהבעיה נגרמת מדליפת מידע בעת שימוש בפקודות פעולות מהירות.

הבעיה זוהתה על ידי צוות GitLab ומשפיעה על גרסאות 12.10 עד 14.6.5, 14.7 עד 14.7.4 ו-14.8 עד 14.8.2. למשתמשים המתחזקים התקנות GitLab מותאמות אישית מומלץ להתקין את העדכון או להחיל את התיקון בהקדם האפשרי. הבעיה נפתרה על ידי הגבלת הגישה לפקודות פעולות מהירות למשתמשים עם הרשאת כתיבה בלבד. לאחר התקנת העדכון או תיקוני "קודמת אסימון" בודדים, אסימוני רישום ב-Runner שנוצרו בעבר עבור קבוצות ופרויקטים יאופסו וייווצרו מחדש.

בנוסף לפגיעות הקריטית, הגרסאות החדשות מבטלות גם 6 נקודות תורפה פחות מסוכנות שיכולות להוביל להוספת משתמשים אחרים לקבוצות, מידע מוטעה של משתמשים באמצעות מניפולציה של תוכן Snippets, דליפת משתני סביבה באמצעות שיטת משלוח sendmail, קביעת נוכחות המשתמשים דרך ה-API של GraphQL, דליפת סיסמאות בעת שיקוף מאגרים באמצעות SSH במצב pull, התקפת DoS דרך מערכת הגשת הערות.

מקור: OpenNet.ru