റണ്ണർ ടോക്കണുകളിലേക്ക് ആക്‌സസ് അനുവദിക്കുന്ന GitLab-ലെ ദുർബലത

സഹകരണ വികസന പ്ലാറ്റ്‌ഫോമായ GitLab 14.8.2, 14.7.4, 14.6.5 എന്നിവയിലേക്കുള്ള തിരുത്തൽ അപ്‌ഡേറ്റുകൾ, ഹാൻഡ്‌ലർമാരെ വിളിക്കാൻ ഉപയോഗിക്കുന്ന GitLab റണ്ണറിൽ രജിസ്‌ട്രേഷൻ ടോക്കണുകൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ അനധികൃത ഉപയോക്താവിനെ അനുവദിക്കുന്ന ഗുരുതരമായ അപകടസാധ്യത (CVE-2022-0735) ഇല്ലാതാക്കുന്നു. തുടർച്ചയായ സംയോജന സംവിധാനത്തിൽ പ്രോജക്റ്റ് കോഡ് നിർമ്മിക്കുമ്പോൾ. വിശദാംശങ്ങൾ ഇതുവരെ നൽകിയിട്ടില്ല, ക്വിക്ക് ആക്ഷൻ കമാൻഡുകൾ ഉപയോഗിക്കുമ്പോഴുള്ള വിവരങ്ങൾ ചോർന്നതാണ് പ്രശ്നത്തിന് കാരണം.

GitLab ജീവനക്കാർ ഈ പ്രശ്നം തിരിച്ചറിഞ്ഞു, ഇത് 12.10 മുതൽ 14.6.5, 14.7 മുതൽ 14.7.4, 14.8 മുതൽ 14.8.2 വരെയുള്ള പതിപ്പുകളെ ബാധിക്കുന്നു. ഇഷ്‌ടാനുസൃത GitLab ഇൻസ്റ്റാളേഷനുകൾ പരിപാലിക്കുന്ന ഉപയോക്താക്കൾക്ക് അപ്‌ഡേറ്റ് ഇൻസ്റ്റാൾ ചെയ്യാനോ പാച്ച് എത്രയും വേഗം പ്രയോഗിക്കാനോ നിർദ്ദേശിക്കുന്നു. റൈറ്റ് പെർമിഷൻ ഉള്ള ഉപയോക്താക്കൾക്ക് മാത്രം ക്വിക്ക് ആക്ഷൻ കമാൻഡുകളിലേക്കുള്ള ആക്സസ് പരിമിതപ്പെടുത്തി പ്രശ്നം പരിഹരിച്ചു. അപ്ഡേറ്റ് അല്ലെങ്കിൽ വ്യക്തിഗത "ടോക്കൺ-പ്രിഫിക്സ്" പാച്ചുകൾ ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം, ഗ്രൂപ്പുകൾക്കും പ്രോജക്റ്റുകൾക്കുമായി മുമ്പ് സൃഷ്ടിച്ച റണ്ണറിലെ രജിസ്ട്രേഷൻ ടോക്കണുകൾ പുനഃസജ്ജമാക്കുകയും പുനഃസൃഷ്ടിക്കുകയും ചെയ്യും.

നിർണ്ണായകമായ അപകടസാധ്യതയ്‌ക്ക് പുറമേ, പുതിയ പതിപ്പുകൾ അപകടകരമല്ലാത്ത 6 കേടുപാടുകൾ ഇല്ലാതാക്കുന്നു, ഇത് ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവിന് മറ്റ് ഉപയോക്താക്കളെ ഗ്രൂപ്പുകളിലേക്ക് ചേർക്കുന്നതിലേക്ക് നയിച്ചേക്കാം, സ്‌നിപ്പെറ്റുകളുടെ ഉള്ളടക്കത്തിൽ കൃത്രിമം കാണിക്കുന്നതിലൂടെ ഉപയോക്താക്കളുടെ തെറ്റായ വിവരങ്ങൾ, സെൻഡ്‌മെയിൽ ഡെലിവറി രീതിയിലൂടെ പരിസ്ഥിതി വേരിയബിളുകളുടെ ചോർച്ച, ഗ്രാഫ്ക്യുഎൽ എപിഐ വഴി ഉപയോക്താക്കളുടെ സാന്നിധ്യം നിർണ്ണയിക്കൽ, പുൾ മോഡിൽ എസ്എസ്എച്ച് വഴി റിപ്പോസിറ്ററികൾ മിറർ ചെയ്യുമ്പോൾ പാസ്‌വേഡുകളുടെ ചോർച്ച, കമന്റ് സബ്മിഷൻ സിസ്റ്റം വഴി ഡോസ് ആക്രമണം.

അവലംബം: opennet.ru