{"id":104974,"date":"2022-08-31T09:36:39","date_gmt":"2022-08-31T07:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab"},"modified":"2022-08-31T09:36:39","modified_gmt":"2022-08-31T07:36:39","slug":"vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vtoraya-za-nedelyu-kriticheskaya-uyazvimost-v-gitlab","title":{"rendered":"Segunda vulnerabilidade cr\u00edtica na semana no GitLab.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A empresa GitLab lan\u00e7ou mais uma s\u00e9rie de atualiza\u00e7\u00f5es corretivas para sua plataforma de desenvolvimento colaborativo \u2014 15.3.2, 15.2.4 e 15.1.6, nas quais foi corrigida uma vulnerabilidade cr\u00edtica (CVE-2022-2992) que permite a um usu\u00e1rio autenticado executar c\u00f3digo remotamente no servidor. Assim como a vulnerabilidade CVE-2022-2884, que foi corrigida na semana passada, o novo problema est\u00e1 presente na API para importa\u00e7\u00e3o de dados do servi\u00e7o GitHub. A vulnerabilidade se manifesta tamb\u00e9m nas vers\u00f5es 15.3.1, 15.2.3 e 15.1.5, que corrigiram a primeira vulnerabilidade no c\u00f3digo de importa\u00e7\u00e3o do GitHub. <\/p>\n
Detalhes sobre a explora\u00e7\u00e3o ainda n\u00e3o foram fornecidos. A informa\u00e7\u00e3o sobre a vulnerabilidade foi reportada ao GitLab dentro do programa ativo no HackerOne de recompensas por descobertas de vulnerabilidades, mas ao contr\u00e1rio do problema anterior, foi identificada por outro participante. Como uma solu\u00e7\u00e3o alternativa, recomenda-se ao administrador desativar a fun\u00e7\u00e3o de importa\u00e7\u00e3o do GitHub (no web interface do GitLab: \u00abMenu\u00bb -> \u00abAdmin\u00bb -> \u00abSettings\u00bb -> \u00abGeneral\u00bb -> \u00abVisibility and access controls\u00bb -> \u00abImport sources\u00bb -> desativar \u00abGitHub\u00bb). <\/p>\n
Al\u00e9m disso, as atualiza\u00e7\u00f5es propostas corrigem mais 14 vulnerabilidades, das quais duas s\u00e3o classificadas como perigosas, dez t\u00eam n\u00edvel de severidade m\u00e9dio e duas s\u00e3o consideradas n\u00e3o perigosas. As vulnerabilidades perigosas incluem: a CVE-2022-2865, que permite adicionar seu pr\u00f3prio c\u00f3digo JavaScript nas p\u00e1ginas exibidas para outros usu\u00e1rios por meio da manipula\u00e7\u00e3o de etiquetas coloridas, e a CVE-2022-2527, que permite injetar seu conte\u00fado atrav\u00e9s do campo de descri\u00e7\u00e3o na linha do tempo de incidentes (Incidents Timeline). As vulnerabilidades de severidade m\u00e9dia est\u00e3o principalmente relacionadas \u00e0 possibilidade de causar uma nega\u00e7\u00e3o de servi\u00e7o. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"