In de correctieve updates van het platform voor samenwerking in GitLab 15.3.1, 15.2.3 en 15.1.5 is een kritieke kwetsbaarheid (CVE-2022-2884) verholpen die een geauthenticeerde gebruiker met toegang tot de API voor het importeren van gegevens uit GitHub in staat stelt om code op de server op afstand uit te voeren. Details over de exploit zijn nog niet beschikbaar. De kwetsbaarheid is ontdekt door een beveiligingsonderzoeker in het kader van het actieve HackerOne-programma voor beloningen voor het ontdekken van kwetsbaarheden.
Als tijdelijke oplossing wordt beheerders aangeraden de importfunctie vanuit GitHub uit te schakelen (in de webinterface van GitLab: 'Menu' -> 'Admin' -> 'Instellingen' -> 'Algemeen' -> 'Zichtbaarheid en toegangscontrole' -> 'Importbronnen' -> 'GitHub' uitschakelen).
Bron: opennet.ru
