Пропусти во GitLab кои дозволуваат киднапирање сметка и извршување на команди под друг корисник

Објавени се корективни ажурирања на платформата за организирање на колаборативен развој - GitLab 16.7.2, 16.6.4 и 16.5.6, кои поправаат две критични пропусти. Првата ранливост (CVE-2023-7028), на која и е доделено максималното ниво на сериозност (10 од 10), ви овозможува да заплените туѓа сметка преку манипулација со формуларот за враќање на заборавената лозинка. Ранливоста е предизвикана од можноста за испраќање е-пошта со код за ресетирање на лозинка на непроверени адреси на е-пошта. Проблемот се појавува уште од објавувањето на GitLab 16.1.0, кој воведе можност да се испрати код за враќање на лозинката на непроверена резервна адреса за е-пошта.

За да се проверат фактите за компромисот на системите, се предлага да се процени во дневникот gitlab-rails/production_json.log присуството на барања за HTTP до управувачот /users/password што укажува на низа од неколку е-пошта во „params.value.email “ параметар. Исто така, се предлага да се проверат записите во дневникот gitlab-rails/audit_json.log со вредноста PasswordsController#create во meta.caller.id и со означување на низа од неколку адреси во блокот target_details. Нападот не може да се заврши ако корисникот овозможи двофакторна автентикација.

Втората ранливост, CVE-2023-5356, е присутна во кодот за интеграција со услугите Slack и Mattermost и ви овозможува да извршувате /-наредби под друг корисник поради недостаток на соодветна проверка за овластување. На проблемот му е доделено ниво на сериозност од 9.6 од 10. Новите верзии, исто така, елиминираат помалку опасна (7.6 од 10) ранливост (CVE-2023-4812), која ви овозможува да го заобиколите одобрението од CODEOWNERS со додавање промени на претходно одобрено барање за спојување.

Деталните информации за идентификуваните пропусти се планира да бидат обелоденети 30 дена по објавувањето на поправката. Ранливостите беа доставени до GitLab како дел од програмата за доделување ранливост на HackerOne.

Извор: opennet.ru