Otrā kritiskā ievainojamība GitLab šonedēļ

Uzņēmums GitLab ir publicējis jaunu labojumu sēriju savai platformai sadarbības izstrādē — 15.3.2, 15.2.4 un 15.1.6, kurās novērsta kritiska ievainojamība (CVE-2022-2992), kas ļauj autentificētam lietotājam attālināti izpildīt kodu serverī. Tāpat kā iesaistītā ievainojamība CVE-2022-2884, kas tika novērsta pirms nedēļas, jaunā problēma ir sastopama API datu importēšanai no GitHub pakalpojuma. Ievainojamība izpaužas arī versijās 15.3.1, 15.2.3 un 15.1.5, kurās tika labota pirmā ievainojamība GitHub importēšanas kodā.

Informācija par ievainojamības izmantošanu pašlaik netiek sniegta. Informācija par ievainojamību tika nodota GitLab, izmantojot aktīvo programmu HackerOne par ievainojamību atklāšanu, tomēr, atšķirībā no iepriekšējās problēmas, to identificēja cits dalībnieks. Kā pagaidu risinājums administratoram ieteicams atslēgt GitHub importēšanas funkciju (GitLab tīmekļa saskarnē: «Menu» -> «Admin» -> «Settings» -> «General» -> «Visibility and access controls» -> «Import sources» -> atslēgt «GitHub»).

Turklāt piedāvātajos atjauninājumos ir novērstas vēl 14 ievainojamības, no kurām divas ir atzītas par bīstamām, desmit ir piešķirts vidējs bīstamības līmenis, bet divas atzīmētas kā nekaitīgas. Bīstamas atzītas: ievainojamība CVE-2022-2865, kas ļauj pievienot savu JavaScript kodu citiem lietotājiem redzamās lapās, manipulējot ar krāsainajām etiķetēm, kā arī ievainojamība CVE-2022-2527, kas dod iespēju ievietot savu saturu, izmantojot apraksta lauku incidentu hronoloģijā (Incidents Timeline). Vidēja līmeņa ievainojamības galvenokārt ir saistītas ar atteikšanās no pakalpojuma iespējām.

Avots: opennet.lv