GitLab heeft een nieuwe reeks bugfixes voor zijn samenwerkingsontwikkelingsplatform uitgebracht - 15.3.2, 15.2.4 en 15.1.6, waarin een kritieke kwetsbaarheid (CVE-2022-2992) is verholpen. Deze kwetsbaarheid staat een geauthenticeerde gebruiker toe om op afstand code op de server uit te voeren. Net als de kwetsbaarheid CVE-2022-2884, die een week geleden werd verholpen, is dit nieuwe probleem aanwezig in de API voor het importeren van gegevens uit de GitHub-service. De kwetsbaarheid komt ook voor in de versies 15.3.1, 15.2.3 en 15.1.5, waarin de eerste kwetsbaarheid in de GitHub-importcode werd verholpen.
Details over de exploit worden vooralsnog niet verstrekt. Informatie over de kwetsbaarheid is aan GitLab doorgegeven via het HackerOne programma voor beloningen voor het ontdekken van kwetsbaarheden, maar in tegenstelling tot het vorige probleem is dit ontdekt door een andere deelnemer. Als workaround wordt beheerders aangeraden om de importfunctie vanuit GitHub uit te schakelen (in de webinterface van GitLab: „Menu“ -> „Admin“ -> „Instellingen“ -> „Algemeen“ -> „Zichtbaarheid en toegangscontroles“ -> „Importbronnen“ -> de optie „GitHub“ uitschakelen).
Daarnaast zijn er in de voorgestelde updates nog eens 14 kwetsbaarheden verholpen, waarvan er twee als ernstig zijn gemarkeerd, tien met een gemiddeld risico en twee als ongevaarlijk. De ernstige kwetsbaarheden zijn: de kwetsbaarheid CVE-2022-2865, die het mogelijk maakt om eigen JavaScript-code toe te voegen aan pagina's die aan andere gebruikers worden getoond door middel van manipulatie van kleurlabels, en de kwetsbaarheid CVE-2022-2527, die de mogelijkheid biedt om eigen inhoud in te voegen via het beschrijvingsveld in de incidentenlijn (Incidents Timeline). De kwetsbaarheden van gemiddelde ernst zijn voornamelijk gerelateerd aan de mogelijkheid tot een denial of service-aanval.
Bron: opennet.ru
