Nas atualizações corretivas da plataforma de colaboração GitLab 15.3.1, 15.2.3 e 15.1.5, foi corrigida uma vulnerabilidade crítica (CVE-2022-2884) que permite a um usuário autenticado, com acesso à API para importação de dados do GitHub, executar código remotamente no servidor. Detalhes sobre a exploração ainda não foram divulgados. A vulnerabilidade foi descoberta por um pesquisador de segurança no âmbito do programa de recompensas por vulnerabilidades em andamento no HackerOne.
Como uma solução alternativa, recomenda-se que o administrador desative a função de importação do GitHub (na interface web do GitLab: «Menu» -> «Admin» -> «Settings» -> «General» -> «Visibility and access controls» -> «Import sources» -> desativar «GitHub»).
Fonte: opennet.ru
