V opravných aktualizáciách platformy na organizáciu spolupráce GitLab 14.8.2, 14.7.4 a 14.6.5 bola odstránená kritická zraniteľnosť (CVE-2022-0735), ktorá umožnila neoprávnenému používateľovi extrahovať registračné tokeny v GitLab Runner, používanom na organizovanie volaní spracovateľov pri zostavovaní kódu projektu v systéme kontinuálnej integrácie. Podrobnosti zatiaľ neboli poskytnuté, uvádza sa len to, že problém bol spôsobený únikom informácií pri používaní príkazov Quick Actions.
Problém bol odhalený zamestnancami GitLab a zahŕňa verzie od 12.10 po 14.6.5, od 14.7 po 14.7.4 a od 14.8 po 14.8.2. Používateľom, ktorí podporujú vlastné inštalácie GitLab, sa odporúča čo najskôr nainštalovať aktualizáciu alebo aplikovať záplatu. Problém bol odstránený obmedzením prístupu k príkazom Quick Actions iba pre používateľov s oprávnením na zápis. Po inštalácii aktualizácie alebo jednotlivých záplat „token-prefix“ budú predtým vytvorené registračné tokeny pre skupiny a projekty v Runneri zresetované a vygenerované znova.
Okrem kritickej zraniteľnosti v nových verziách bolo odstránených aj 6 menej nebezpečných zraniteľností, ktoré môžu viesť k pridaniu nepriviligovaných používateľov do skupín, dezinformovaniu používateľov manipuláciou s obsahom Snippetov, úniku premenných prostredia prostredníctvom metódy dodávky sendmail, určení prítomnosti používateľov cez API GraphQL, úniku hesiel pri zrkadlení repozitárov cez SSH v režime pull a DoS útokom prostredníctvom systému odosielania komentárov.
Zdroj: opennet.ru
