GitLab ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ ਰਨਰ ਟੋਕਨਾਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

ਸਹਿਯੋਗੀ ਵਿਕਾਸ ਪਲੇਟਫਾਰਮ GitLab 14.8.2, 14.7.4 ਅਤੇ 14.6.5 ਦੇ ਸੁਧਾਰਾਤਮਕ ਅੱਪਡੇਟ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2022-0735) ਨੂੰ ਖਤਮ ਕਰਦੇ ਹਨ ਜੋ ਇੱਕ ਅਣਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਨੂੰ GitLab ਰਨਰ ਵਿੱਚ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਟੋਕਨਾਂ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜੋ ਕਿ ਹੈਂਡਲਰ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਇੱਕ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਪ੍ਰੋਜੈਕਟ ਕੋਡ ਬਣਾਉਣ ਵੇਲੇ. ਵੇਰਵੇ ਅਜੇ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ, ਸਿਰਫ ਇਹ ਕਿ ਸਮੱਸਿਆ ਜਾਣਕਾਰੀ ਲੀਕ ਹੋਣ ਕਾਰਨ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਤੇਜ਼ ਕਾਰਵਾਈਆਂ ਕਮਾਂਡਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

GitLab ਸਟਾਫ ਦੁਆਰਾ ਇਸ ਮੁੱਦੇ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਸੰਸਕਰਣ 12.10 ਤੋਂ 14.6.5, 14.7 ਤੋਂ 14.7.4, ਅਤੇ 14.8 ਤੋਂ 14.8.2 ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ। ਕਸਟਮ ਗਿਟਲੈਬ ਸਥਾਪਨਾਵਾਂ ਨੂੰ ਕਾਇਮ ਰੱਖਣ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਅਪਡੇਟ ਸਥਾਪਤ ਕਰਨ ਜਾਂ ਪੈਚ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਸਿਰਫ ਲਿਖਣ ਦੀ ਇਜਾਜ਼ਤ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਤਤਕਾਲ ਐਕਸ਼ਨ ਕਮਾਂਡਾਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਕੇ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਅੱਪਡੇਟ ਜਾਂ ਵਿਅਕਤੀਗਤ "ਟੋਕਨ-ਅਗੇਤਰ" ਪੈਚ ਸਥਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਗਰੁੱਪਾਂ ਅਤੇ ਪ੍ਰੋਜੈਕਟਾਂ ਲਈ ਪਹਿਲਾਂ ਬਣਾਏ ਗਏ ਰਨਰ ਵਿੱਚ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਟੋਕਨ ਰੀਸੈਟ ਅਤੇ ਰੀਜਨਰੇਟ ਕੀਤੇ ਜਾਣਗੇ।

ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਤੋਂ ਇਲਾਵਾ, ਨਵੇਂ ਸੰਸਕਰਣ 6 ਘੱਟ ਖ਼ਤਰਨਾਕ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਵੀ ਖਤਮ ਕਰਦੇ ਹਨ ਜਿਸ ਨਾਲ ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਦੂਜੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਮੂਹਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰ ਸਕਦਾ ਹੈ, ਸਨਿੱਪਟਸ ਦੀ ਸਮੱਗਰੀ ਦੀ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਗਲਤ ਜਾਣਕਾਰੀ, ਸੇਂਡਮੇਲ ਡਿਲੀਵਰੀ ਵਿਧੀ ਦੁਆਰਾ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਦਾ ਲੀਕ ਹੋਣਾ, GraphQL API ਦੁਆਰਾ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਉਣਾ, ਪੁੱਲ ਮੋਡ ਵਿੱਚ SSH ਦੁਆਰਾ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਮਿਰਰ ਕਰਨ ਵੇਲੇ ਪਾਸਵਰਡਾਂ ਦਾ ਲੀਕ ਹੋਣਾ, ਟਿੱਪਣੀ ਸਬਮਿਸ਼ਨ ਸਿਸਟਮ ਦੁਆਰਾ DoS ਹਮਲਾ।

ਸਰੋਤ: opennet.ru