V popravnih posodobitvah platforme za skupinsko delo GitLab 14.8.2, 14.7.4 in 14.6.5 je bila odpravljena kritična ranljivost (CVE-2022-0735), ki nepooblaščenemu uporabniku omogoča pridobitev registracijskih žetonov v GitLab Runnerju, ki se uporablja za organizacijo klicev obdelovalcev pri sestavljanju kod projekta v sistemu neprekinjene integracije. Podrobnosti še niso razkrite, omenjena pa je le to, da je problem posledica uhajanja informacij pri uporabi ukazov Quick Actions.
Težavo so odkrili zaposleni v GitLabu in zajema različice od 12.10 do 14.6.5, od 14.7 do 14.7.4, in od 14.8 do 14.8.2. Uporabnikom, ki podpirajo lastne namestitve GitLaba, se priporoča, da čim prej namestijo posodobitve ali uporabijo popravke. Težava je bila odpravljena z omejitvijo dostopa do ukazov Quick Actions samo za uporabnike, ki imajo pravice za pisanje. Po namestitvi posodobitev ali posameznih popravkov „token-prefix“ bodo prej ustvarjeni registracijski žetoni v Runnerju za skupine in projekte ponastavljeni in generirani znova.
Poleg kritične ranljivosti so v novih različicah odpravili še 6 manj nevarnih ranljivosti, ki lahko privedejo do dodajanja neprivilegiranih uporabnikov v skupine, zavajanja uporabnikov preko manipulacije s vsebino Snippet-ov, uhajanja okolijskih spremenljivk preko metode dostave sendmail, ugotavljanja obstoja uporabnikov preko API GraphQL, uhajanja gesel pri zrcaljenju repozitorijev prek SSH v načinu pull, ter napadov DoS preko sistema za pošiljanje komentarjev.
Izvor: opennet.ru
