Sadarbības izstrādes platformas GitLab 14.8.2, 14.7.4 un 14.6.5 koriģējošie atjauninājumi novērš kritisku ievainojamību (CVE-2022-0735), kas ļauj neautorizētam lietotājam iegūt reģistrācijas marķierus GitLab Runner, ko izmanto apdarinātāju izsaukšanai. būvējot projekta kodu nepārtrauktas integrācijas sistēmā. Sīkāka informācija vēl nav sniegta, tikai to, ka problēmu izraisa informācijas noplūde, izmantojot ātro darbību komandas.
Problēmu atklāja GitLab darbinieki, un tā skar versijas 12.10–14.6.5, 14.7–14.7.4 un 14.8–14.8.2. Lietotājiem, kuri uztur pielāgotas GitLab instalācijas, ieteicams pēc iespējas ātrāk instalēt atjauninājumu vai lietot ielāpu. Problēma tika atrisināta, ierobežojot piekļuvi ātro darbību komandām tikai lietotājiem ar rakstīšanas atļauju. Pēc atjauninājuma vai atsevišķu “token-prefix” ielāpu instalēšanas programmā Runner grupām un projektiem iepriekš izveidotie reģistrācijas marķieri tiks atiestatīti un atjaunoti.
Papildus kritiskajai ievainojamībai jaunajās versijās ir novērstas arī 6 mazāk bīstamas ievainojamības, kuru dēļ nepievilcīgs lietotājs var pievienot grupām citus lietotājus, lietotāju dezinformācija, manipulējot ar fragmentu saturu, vides mainīgo noplūde, izmantojot sendmail piegādes metodi, lietotāju klātbūtnes noteikšana, izmantojot GraphQL API, paroļu noplūde, atspoguļojot repozitorijus, izmantojot SSH vilkšanas režīmā, DoS uzbrukums, izmantojot komentāru iesniegšanas sistēmu.
Avots: opennet.ru