Paskelbti korekciniai platformos, skirtos bendrai plėtrai organizuoti, atnaujinimai – GitLab 16.7.2, 16.6.4 ir 16.5.6, kurie ištaiso du kritinius pažeidžiamumus. Pirmasis pažeidžiamumas (CVE-2023-7028), kuriam priskirtas maksimalus sunkumo lygis (10 iš 10), leidžia konfiskuoti kažkieno paskyrą manipuliuojant pamiršto slaptažodžio atkūrimo forma. Pažeidžiamumą sukelia galimybė išsiųsti el. laišką su slaptažodžio nustatymo iš naujo kodu nepatvirtintais el. pašto adresais. Problema išryškėjo išleidus GitLab 16.1.0, kuri pristatė galimybę siųsti slaptažodžio atkūrimo kodą nepatvirtintu atsarginiu el. pašto adresu.
Norint patikrinti sistemų pažeidimo faktus, siūloma gitlab-rails/production_json.log žurnale įvertinti HTTP užklausų buvimą /users/password tvarkyklei, nurodant kelių el. laiškų masyvą „params.value.email“. " parametras. Taip pat siūloma patikrinti, ar gitlab-rails/audit_json.log žurnale nėra įrašų su reikšme PasswordsController#create meta.caller.id ir nurodant kelių adresų masyvą target_details bloke. Ataka negali būti užbaigta, jei vartotojas įjungia dviejų veiksnių autentifikavimą.
Antrasis pažeidžiamumas, CVE-2023-5356, yra integravimo su Slack ir Mattermost paslaugomis kode ir leidžia vykdyti /-komandas kitam vartotojui, nes nėra tinkamo autorizacijos patikrinimo. Problemai priskirtas 9.6 iš 10 sunkumo lygis. Naujosiose versijose taip pat pašalintas mažiau pavojingas (7.6 iš 10) pažeidžiamumas (CVE-2023-4812), leidžiantis apeiti CODEOWNERS patvirtinimą pridedant anksčiau patvirtinto pakeitimų. sujungimo prašymas.
Išsamią informaciją apie nustatytas spragas planuojama atskleisti praėjus 30 dienų nuo pataisos paskelbimo. Pažeidžiamumas buvo pateiktas „GitLab“ kaip „HackerOne“ pažeidžiamumo premijų programos dalis.
Šaltinis: opennet.ru