GitLab मध्ये एका आठवड्यात दुसरी गंभीर असुरक्षा

GitLab ने सहयोगी विकासाचे आयोजन करण्यासाठी त्याच्या प्लॅटफॉर्मवर सुधारात्मक अद्यतनांची पुढील मालिका प्रकाशित केली आहे - 15.3.2, 15.2.4 आणि 15.1.6, जी एक गंभीर भेद्यता (CVE-2022-2992) दूर करते जे प्रमाणीकृत वापरकर्त्यास दूरस्थपणे कोड कार्यान्वित करण्यास अनुमती देते. सर्व्हरवर एका आठवड्यापूर्वी निश्चित केलेल्या CVE-2022-2884 असुरक्षाप्रमाणे, GitHub सेवेमधून डेटा आयात करण्यासाठी API मध्ये एक नवीन समस्या उपस्थित आहे. रिलीझ 15.3.1, 15.2.3 आणि 15.1.5 मध्ये देखील भेद्यता दिसून येते, ज्याने GitHub वरून आयात कोडमधील पहिली भेद्यता निश्चित केली.

ऑपरेशनचे तपशील अद्याप दिलेले नाहीत. असुरक्षिततेबद्दल माहिती हॅकरओनच्या असुरक्षितता बाउंटी प्रोग्रामचा भाग म्हणून GitLab ला सबमिट केली गेली होती, परंतु मागील समस्येच्या विपरीत, ती दुसर्‍या सहभागीद्वारे ओळखली गेली. उपाय म्हणून, प्रशासकाने GitHub वरून आयात कार्य अक्षम करण्याची शिफारस केली जाते (GitLab वेब इंटरफेसमध्ये: "मेनू" -> "प्रशासक" -> "सेटिंग्ज" -> "सामान्य" -> "दृश्यता आणि प्रवेश नियंत्रणे" - > "स्रोत आयात करा" -> "GitHub" अक्षम करा).

याव्यतिरिक्त, प्रस्तावित अद्यतने आणखी 14 असुरक्षा निश्चित करतात, त्यापैकी दोन धोकादायक म्हणून चिन्हांकित आहेत, दहा धोक्याची मध्यम पातळी नियुक्त केली आहेत आणि दोन सौम्य म्हणून चिन्हांकित आहेत. खालील धोकादायक म्हणून ओळखले जातात: भेद्यता CVE-2022-2865, जी तुम्हाला रंग लेबल्सच्या हाताळणीद्वारे इतर वापरकर्त्यांना दर्शविलेल्या पृष्ठांवर तुमचा स्वतःचा JavaScript कोड जोडण्याची परवानगी देते, तसेच असुरक्षा CVE-2022-2527, ज्यामुळे ते शक्य होते. तुमची सामग्री घटना स्केल टाइमलाइनमधील वर्णन फील्डद्वारे बदला). मध्यम तीव्रता भेद्यता प्रामुख्याने सेवा नाकारण्याच्या शक्यतेशी संबंधित आहेत.

स्त्रोत: opennet.ru