Er zijn corrigerende updates voor het platform voor het organiseren van gezamenlijke ontwikkeling gepubliceerd - GitLab 16.7.2, 16.6.4 en 16.5.6, die twee kritieke kwetsbaarheden verhelpen. De eerste kwetsbaarheid (CVE-2023-7028), waaraan het maximale ernstniveau is toegewezen (10 van de 10), stelt u in staat beslag te leggen op het account van iemand anders door middel van manipulatie van het vergeten wachtwoordherstelformulier. Het beveiligingslek wordt veroorzaakt door de mogelijkheid om een e-mail met een wachtwoordresetcode naar niet-geverifieerde e-mailadressen te sturen. Het probleem doet zich voor sinds de release van GitLab 16.1.0, waarin de mogelijkheid werd geïntroduceerd om een wachtwoordherstelcode naar een niet-geverifieerd back-up-e-mailadres te sturen.
Om de feiten van het compromitteren van systemen te controleren, wordt voorgesteld om in het gitlab-rails/production_json.log log de aanwezigheid van HTTP-verzoeken naar de /users/password handler te evalueren, wat een array van verschillende e-mails in de “params.value.email” aangeeft. " parameter. Er wordt ook voorgesteld om te controleren op vermeldingen in het gitlab-rails/audit_json.log log met de waarde PasswordsController#create in meta.caller.id en een array van verschillende adressen in het target_details blok aan te geven. De aanval kan niet worden voltooid als de gebruiker tweefactorauthenticatie inschakelt.
De tweede kwetsbaarheid, CVE-2023-5356, is aanwezig in de code voor integratie met de Slack- en Mattermost-services, en stelt u in staat /-opdrachten uit te voeren onder een andere gebruiker vanwege het ontbreken van een goede autorisatiecontrole. Aan het probleem is een ernstniveau van 9.6 uit 10 toegekend. De nieuwe versies elimineren ook een minder gevaarlijke kwetsbaarheid (7.6 uit 10) (CVE-2023-4812), waardoor u de goedkeuring van CODEOWNERS kunt omzeilen door wijzigingen toe te voegen aan een eerder goedgekeurde kwetsbaarheid. samenvoegingsverzoek.
Gedetailleerde informatie over de geïdentificeerde kwetsbaarheden zal naar verwachting 30 dagen na de publicatie van de oplossing worden bekendgemaakt. De kwetsbaarheden zijn bij GitLab ingediend als onderdeel van HackerOne's bountyprogramma voor kwetsbaarheden.
Bron: opennet.ru