GitLab opublikował kolejną serię aktualizacji naprawczych swojej platformy do organizacji wspólnego rozwoju - 15.3.2, 15.2.4 i 15.1.6, które eliminują krytyczną lukę (CVE-2022-2992) umożliwiającą uwierzytelnionemu użytkownikowi zdalne wykonanie kodu na serwerze. Podobnie jak naprawiona tydzień temu luka CVE-2022-2884, tak i w API do importu danych z usługi GitHub pojawił się nowy problem. Luka pojawia się także w wersjach 15.3.1, 15.2.3 i 15.1.5, które naprawiają pierwszą lukę w kodzie importu z GitHuba.
Szczegóły operacyjne nie zostały jeszcze podane. Informacja o luce została przesłana do GitLab w ramach programu nagród za lukę HackerOne, lecz w odróżnieniu od poprzedniego problemu została zidentyfikowana przez innego uczestnika. W ramach obejścia zaleca się, aby administrator wyłączył funkcję importu z GitHub (w interfejsie internetowym GitLab: „Menu” -> „Admin” -> „Ustawienia” -> „Ogólne” -> „Widoczność i kontrola dostępu” - > „Źródła importu” -> wyłącz „GitHub”).
Ponadto proponowane aktualizacje naprawiają 14 kolejnych luk, z czego dwie zostały oznaczone jako niebezpieczne, dziesięć ma średni poziom zagrożenia, a dwie zostały oznaczone jako łagodne. Za niebezpieczne uznaje się: podatność CVE-2022-2865, która pozwala na dodanie własnego kodu JavaScript do stron pokazywanych innym użytkownikom poprzez manipulację kolorowymi etykietami oraz podatność CVE-2022-2527, która umożliwia zastąp swoją treść za pomocą pola opisu na osi czasu skali incydentów). Luki o umiarkowanej wadze są związane przede wszystkim z możliwością odmowy usługi.
Źródło: opennet.ru