GitLab मधील भेद्यता जी रनर टोकनमध्ये प्रवेश करण्यास अनुमती देते

सहयोगी विकास प्लॅटफॉर्मसाठी GitLab 14.8.2, 14.7.4 आणि 14.6.5 पॅचेस एक गंभीर भेद्यता (CVE-2022-0735) दुरुस्त करतात जी अनधिकृत वापरकर्त्याला GitLab Runner मध्ये नोंदणी टोकन काढण्याची परवानगी देते, जी सतत एकत्रीकरण प्रणालीमध्ये प्रकल्प कोड तयार करताना हँडलरला कॉल करण्यासाठी वापरली जाते. तपशील अद्याप उपलब्ध नाहीत, परंतु हे लक्षात येते की क्विक अॅक्शन कमांड वापरताना माहिती गळतीमुळे ही समस्या उद्भवली आहे.

ही समस्या गिटलॅब कर्मचाऱ्यांनी शोधून काढली आणि ती १२.१० ते १४.६.५, १४.७ ते १४.७.४ आणि १४.८ ते १४.८.२ या आवृत्त्यांवर परिणाम करते. कस्टम गिटलॅब इंस्टॉलेशन्स राखणाऱ्या वापरकर्त्यांना शक्य तितक्या लवकर अपडेट इंस्टॉल करण्याचा किंवा पॅच लागू करण्याचा सल्ला दिला जातो. लेखन परवानग्या असलेल्या वापरकर्त्यांना क्विक अॅक्शन्स कमांडचा अॅक्सेस मर्यादित करून ही समस्या सोडवण्यात आली. अपडेट किंवा वैयक्तिक "टोकन-प्रीफिक्स" पॅचेस इन्स्टॉल केल्यानंतर, रनर फॉर ग्रुप्स आणि प्रोजेक्ट्समध्ये पूर्वी तयार केलेले नोंदणी टोकन रीसेट केले जातील आणि पुन्हा तयार केले जातील.

गंभीर भेद्यतेव्यतिरिक्त, नवीन आवृत्त्या सहा कमी गंभीर भेद्यते देखील दुरुस्त करतात ज्यामुळे अनधिकृत वापरकर्ते इतर वापरकर्त्यांना गटांमध्ये जोडू शकतात, स्निपेट सामग्री हाताळून वापरकर्त्यांची चुकीची माहिती, सेंडमेल वितरण पद्धतीद्वारे पर्यावरण चलांची गळती, ग्राफक्यूएल एपीआयद्वारे वापरकर्त्याची उपस्थिती शोधणे, पुल मोडमध्ये एसएसएचद्वारे रिपॉझिटरीज मिरर करताना पासवर्ड गळती आणि टिप्पणी सबमिशन सिस्टमद्वारे डोस हल्ला.

स्त्रोत: opennet.ru