Podjetje GitLab je objavilo novo serijo popravkov za svojo platformo za sodelovalno razvijanje — 15.3.2, 15.2.4 in 15.1.6, v katerih so odpravili kritično ranljivost (CVE-2022-2992), ki omogoča avtenticiranemu uporabniku, da oddaljeno izvede kodo na strežniku. Podobno kot ranljivost CVE-2022-2884, ki je bila popravljena prejšnji teden, je tudi ta nova težava prisotna v API-ju za uvoz podatkov iz storitve GitHub. Ranljivost se pojavlja tudi v različicah 15.3.1, 15.2.3 in 15.1.5, v katerih je bila popravljena prva ranljivost v kodi za uvoz iz GitHuba.
Podrobnosti o izkoriščanju za zdaj niso znane. Informacije o ranljivosti so bile posredovane podjetju GitLab v sklopu obstoječe programske pobude za nagrajevanje za odkrivanje ranljivosti na HackerOne, vendar je bila v nasprotju s prejšnjo težavo odkrita s strani drugega člana. Kot obvodno rešitev se administratorju priporoča, da onemogoči funkcijo uvoza iz GitHuba (v spletnem vmesniku GitLab: „Menu“ -> „Admin“ -> „Settings“ -> „General“ -> „Visibility and access controls“ -> „Import sources“ -> onemogoči „GitHub“).
Poleg tega so v predlaganih posodobitvah odpravili še 14 ranljivosti, od katerih sta dve označeni kot nevarni, deset ima srednjo nevarnost, dve pa sta označeni kot nizko nevarne. Nevarni sta: ranljivost CVE-2022-2865, ki omogoča dodajanje lastne JavaScript kode na strani, ki jih vidijo drugi uporabniki, prek manipulacije s barvnimi oznakami, ter ranljivost CVE-2022-2527, ki omogoča vnos lastne vsebine preko polja z opisom v časovnici incidentov (Incidents Timeline). Ranljivosti srednje stopnje nevarnosti so večinoma povezane z možnostjo izvedbe napada zavrnitve storitve.
Izvor: opennet.ru
