{"id":112853,"date":"2024-01-12T15:10:23","date_gmt":"2024-01-12T13:10:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem"},"modified":"2024-01-12T15:10:23","modified_gmt":"2024-01-12T13:10:23","slug":"uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem","title":{"rendered":"Luki w GitLab, umo\u017cliwiaj\u0105ce przej\u0119cie konta i wykonywanie polece\u0144 jako inny u\u017cytkownik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Opublikowane zosta\u0142y poprawki platformy do wsp\u00f3lnej pracy \u2014 GitLab 16.7.2, 16.6.4 i 16.5.6, kt\u00f3re eliminuj\u0105 dwie krytyczne podatno\u015bci. Pierwsza podatno\u015b\u0107 (CVE-2023-7028) ma najwy\u017cszy poziom zagro\u017cenia (10 na 10) i pozwala na przej\u0119cie cudze konto poprzez manipulacje formularzem odzyskiwania zapomnianego has\u0142a. Problem ten wynika z mo\u017cliwo\u015bci wysy\u0142ania wiadomo\u015bci e-mail z kodem do resetowania has\u0142a na niepotwierdzone adresy e-mail. Problem wyst\u0119puje od wersji GitLab 16.1.0, w kt\u00f3rej pojawi\u0142a si\u0119 mo\u017cliwo\u015b\u0107 wysy\u0142ania kodu odzyskiwania has\u0142a na zweryfikowany zapasowy adres e-mail. <\/p>\n
Aby sprawdzi\u0107 fakty dotycz\u0105ce kompromitacji system\u00f3w, zaleca si\u0119 ocenienie w logu gitlab-rails\/production_json.log obecno\u015bci \u017c\u0105da\u0144 HTTP do obs\u0142ugi u\u017cytkownik\u00f3w \/users\/password z podaniem tablicy z wieloma e-mailami w parametrach \u201eparams.value.email\u201d. Nale\u017cy r\u00f3wnie\u017c sprawdzi\u0107, czy w logu gitlab-rails\/audit_json.log znajduj\u0105 si\u0119 zapisy ze wskazaniem PasswordsController#create w meta.caller.id oraz wskazaniem tablicy z wieloma adresami w bloku target_details. Atak nie mo\u017ce zosta\u0107 zako\u0144czony, je\u015bli u\u017cytkownik w\u0142\u0105czy dwuetapow\u0105 weryfikacj\u0119. <\/p>\n
Druga podatno\u015b\u0107 CVE-2023-5356 wyst\u0119puje w kodzie integruj\u0105cym z us\u0142ugami Slack i Mattermost i pozwala na wykonanie komend pod innym u\u017cytkownikiem z powodu braku odpowiedniego sprawdzenia autoryzacji. Problem ten ma przypisany poziom zagro\u017cenia 9,6 na 10. W nowych wersjach naprawiono tak\u017ce mniej niebezpieczn\u0105 (7,6 na 10) podatno\u015b\u0107 (CVE-2023-4812), kt\u00f3ra pozwala na omini\u0119cie potwierdzenia CODEOWNERS poprzez dodawanie zmian do wcze\u015bniej zatwierdzonej pro\u015bby o scalanie. <\/p>\n