მეორე კრიტიკული დაუცველობა GitLab-ში ერთ კვირაში

GitLab-მა გამოუშვა პატჩების უახლესი სერია თავისი კოლაბორაციული განვითარების პლატფორმისთვის - ვერსიები 15.3.2, 15.2.4 და 15.1.6 - რომლებიც აგვარებენ კრიტიკულ დაუცველობას (CVE-2022-2992), რომელსაც შეუძლია ავტორიზებული მომხმარებლისთვის სერვერზე კოდის დისტანციურად შესრულების საშუალება მისცეს. CVE-2022-2884-ის მსგავსად, რომელიც ერთი კვირის წინ განახლდა, ​​ეს ახალი პრობლემა გავლენას ახდენს GitHub-დან მონაცემების იმპორტის API-ზე. დაუცველობა ასევე გავლენას ახდენს ვერსიებზე 15.3.1, 15.2.3 და 15.1.5, რომლებმაც გამოასწორეს საწყისი დაუცველობა GitHub-ის იმპორტის კოდში.

ექსპლოიტის დეტალები ჯერ არ არის ხელმისაწვდომი. დაუცველობის შესახებ ინფორმაცია GitLab-ს HackerOne-ის შეცდომების ჯილდოს პროგრამის მეშვეობით ეცნობა, თუმცა წინა პრობლემისგან განსხვავებით, ის სხვა მონაწილემ აღმოაჩინა. შემოვლითი გზის სახით, ადმინისტრატორებს ურჩევენ გამორთონ GitHub-ის იმპორტის ფუნქცია (GitLab-ის ვებ ინტერფეისში: „მენიუ“ -> „ადმინისტრატორი“ -> „პარამეტრები“ -> „ზოგადი“ -> „ხილვადობა და წვდომის კონტროლი“ -> „იმპორტის წყაროები“ -> გამორთეთ „GitHub“).

გარდა ამისა, შემოთავაზებული განახლებები ასწორებს კიდევ 14 დაუცველობას, რომელთაგან ორი მონიშნულია, როგორც მძიმე, ათს მინიჭებული აქვს საშუალო სიმძიმის დონე, ხოლო ორს - არამძიმედ. შემდეგი დაუცველობები ითვლება სერიოზულად: დაუცველობა CVE-2022-2865, რომელიც საშუალებას აძლევს მომხმარებლებს, ფერადი ეტიკეტების მანიპულირებით ჩასვან მორგებული JavaScript კოდი სხვა მომხმარებლებისთვის ნაჩვენებ გვერდებზე და დაუცველობა CVE-2022-2527, რომელიც საშუალებას აძლევს მომხმარებლებს, ჩასვან მორგებული კონტენტი ინციდენტების ქრონოლოგიაში აღწერილობის ველში. საშუალო სიმძიმის დაუცველობები ძირითადად გულისხმობს მომსახურების უარყოფას.

წყარო: opennet.ru