{"id":103442,"date":"2022-02-27T09:36:43","date_gmt":"2022-02-27T07:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner"},"modified":"2022-02-27T09:36:43","modified_gmt":"2022-02-27T07:36:43","slug":"uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-gitlab-pozvolyayushhaya-poluchit-dostup-k-tokenam-runner","title":{"rendered":"Kwetsbaarheid in GitLab die toegang biedt tot Runner-tokens","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de correctie-updates van het samenwerkingsplatform GitLab 14.8.2, 14.7.4 en 14.6.5 is een kritieke kwetsbaarheid (CVE-2022-0735) verholpen die niet-geautoriseerde gebruikers in staat stelde om registratietokens in GitLab Runner te extraheren. Dit wordt gebruikt voor het aanroepen van handlers tijdens het bouwen van projectcode in een continue integratiesysteem. Details worden nog niet verstrekt, alleen dat het probleem wordt veroorzaakt door een informatielek tijdens het gebruik van Quick Actions-commando's. <\/p>\n
Het probleem is vastgesteld door medewerkers van GitLab en betreft versies van 12.10 tot 14.6.5, van 14.7 tot 14.7.4, en van 14.8 tot 14.8.2. Gebruikers die hun eigen GitLab-installaties ondersteunen, wordt aangeraden om zo snel mogelijk de update te installeren of de patch toe te passen. Het probleem is opgelost door de toegang tot de Quick Actions-functie alleen toe te staan voor gebruikers met schrijfbevoegdheid. Na het installeren van de update of afzonderlijke patches \"token-prefix\" zullen eerder aangemaakte registratie-token in de Runner voor groepen en projecten worden gereset en opnieuw gegenereerd. <\/p>\n
Naast de kritieke kwetsbaarheid zijn in de nieuwe versies ook 6 minder ernstige kwetsbaarheden verholpen die ertoe kunnen leiden dat niet-geprivilegieerde gebruikers andere gebruikers aan groepen toevoegen, gebruikers misleiden door inhoud van Snippets te manipuleren, omgevingsvariabelen lekken via de verzendmethode sendmail, het identificeren van gebruikers via de GraphQL API, lekken van wachtwoorden bij het spiegelen van repositories via SSH in pull-modus, en DoS-aanvallen via het commentaarsysteem. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"