In de correctie-updates van het samenwerkingsplatform GitLab 14.8.2, 14.7.4 en 14.6.5 is een kritieke kwetsbaarheid (CVE-2022-0735) verholpen die niet-geautoriseerde gebruikers in staat stelde om registratietokens in GitLab Runner te extraheren. Dit wordt gebruikt voor het aanroepen van handlers tijdens het bouwen van projectcode in een continue integratiesysteem. Details worden nog niet verstrekt, alleen dat het probleem wordt veroorzaakt door een informatielek tijdens het gebruik van Quick Actions-commando's.
Het probleem is ontdekt door medewerkers van GitLab en betreft versies van 12.10 tot 14.6.5, van 14.7 tot 14.7.4, en van 14.8 tot 14.8.2. Gebruikers die hun eigen GitLab-installaties onderhouden, worden aangeraden om zo snel mogelijk de update of patch toe te passen. Het probleem is verholpen door toegang tot Quick Actions-commando's alleen beschikbaar te stellen voor gebruikers met schrijfrechten. Na het installeren van de update of afzonderlijke patches 'token-prefix', zullen eerder gemaakte registratietokens in Runner voor groepen en projecten worden gereset en opnieuw worden gegenereerd.
Naast de kritieke kwetsbaarheid zijn in de nieuwe versies ook 6 minder ernstige kwetsbaarheden verholpen die ertoe kunnen leiden dat niet-geprivilegieerde gebruikers andere gebruikers aan groepen toevoegen, gebruikers misleiden door inhoud van Snippets te manipuleren, omgevingsvariabelen lekken via de verzendmethode sendmail, het identificeren van gebruikers via de GraphQL API, lekken van wachtwoorden bij het spiegelen van repositories via SSH in pull-modus, en DoS-aanvallen via het commentaarsysteem.
Bron: opennet.ru
