Popravne posodobitve platforme za sodelovalni razvoj GitLab 14.8.2, 14.7.4 in 14.6.5 odpravljajo kritično ranljivost (CVE-2022-0735), ki nepooblaščenemu uporabniku omogoča ekstrahiranje registracijskih žetonov v GitLab Runnerju, ki se uporablja za klicanje upravljavcev pri gradnji projektne kode v kontinuiranem integracijskem sistemu. Podrobnosti še niso navedene, le da je težavo povzročilo uhajanje informacij pri uporabi ukazov za hitra dejanja.
Težavo je odkrilo osebje GitLaba in vpliva na različice od 12.10 do 14.6.5, od 14.7 do 14.7.4 in od 14.8 do 14.8.2. Uporabnikom, ki vzdržujejo namestitve GitLab po meri, svetujemo, da čim prej namestijo posodobitev ali uporabijo popravek. Težavo smo rešili z omejitvijo dostopa do ukazov za hitra dejanja samo uporabnikom z dovoljenjem za pisanje. Po namestitvi posodobitve ali posameznih popravkov »token-prefix« bodo žetoni za registracijo v Runnerju, ki so bili prej ustvarjeni za skupine in projekte, ponastavljeni in ponovno ustvarjeni.
Poleg kritične ranljivosti nove različice odpravljajo tudi 6 manj nevarnih ranljivosti, ki lahko privedejo do tega, da neprivilegiran uporabnik dodaja druge uporabnike v skupine, dezinformacije uporabnikov z manipulacijo vsebine Snippets, uhajanje spremenljivk okolja preko načina dostave sendmail, ugotavljanje prisotnosti uporabnikov prek API-ja GraphQL, uhajanje gesel pri zrcaljenju repozitorijev prek SSH v načinu vleka, DoS napad prek sistema za oddajo komentarjev.
Vir: opennet.ru