V opravných aktualizáciách platformy pre spoluprácu v GitLabe 15.3.1, 15.2.3 a 15.1.5 bola odstránená kritická zraniteľnosť (CVE-2022-2884), ktorá umožňuje autentifikovanému používateľovi, ktorý má prístup k API na import dát z GitHubu, vzdialene vykonať kód na serveri. Podrobnosti o zneužití zatiaľ nie sú uvedené. Zraniteľnosť bola odhalená bezpečnostným výskumníkom v rámci prebiehajúceho programu odmien za zistenie zraniteľností na HackerOne.
Ako obchádzajúca cesta sa odporúča administrátorovi vypnúť funkciu importu z GitHubu (v webovom rozhraní GitLabu: «Menu» -> «Admin» -> «Settings» -> «General» -> «Visibility and access controls» -> «Import sources» -> vypnúť «GitHub»).
Zdroj: opennet.ru
