Janar në dispozicion azhurnime korrigjuese për platformën e krijimit të bashkëpunimit - GitLab 16.7.2, 16.6.4 dhe 16.5.6, të cilat adresojnë dy vulnerabilitete kritike. Vulnerabiliteti i parë (CVE-2023-7028), i cilësuar me nivelin maksimal të rrezikshmërisë (10 nga 10), lejon kapjen e llogarive duke manipuluar me formularin e rikuperimit të fjalëkalimit. Ky vulnerabilitet ndodh për shkak të mundësisë për të dërguar një email me kodin për rikuperimin e fjalëkalimit në adresa email të pa konfirmuara. Problemi shfaqet që nga publikimi i GitLab 16.1.0, ku u prezantua mundësia e dërgimit të kodit të rikuperimit të fjalëkalimit në një adresë email të papërfillur.
Për të verifikuar faktet e kompromisit të sistemeve, rekomandohet të shqyrtohet logu gitlab-rails/production_json.log për të pranishëm të kërkesave HTTP për trajtuesin /users/password me një varg emailesh në parametrin "params.value.email". Po ashtu, sugjerohet të kontrollohet prania në logun gitlab-rails/audit_json.log të regjistrimeve me vlerën PasswordsController#create në meta.caller.id dhe një varg adresash në bllokun target_details. Sulmi nuk mund të kryhet nëse përdoruesi ka aktivizuar autentifikimin me dy faktorë.
Vulnerabiliteti i dytë CVE-2023-5356 është i pranishëm në kodin për integrimin me shërbimet Slack dhe Mattermost, dhe lejon ekzekutimin e komandave /- në emër të një përdoruesi tjetër për shkak të mungesës së një verifikimi të përshtatshëm të autorizimit. Problemi i është dhënë një nivel rrezikshmërie 9.6 nga 10. Në versionet e reja është eliminuar gjithashtu një vulnerabilitet më pak të rrezikshëm (7.6 nga 10) (CVE-2023-4812), që lejon kalimin e konfirmimit të CODEOWNERS përmes shtimit të ndryshimeve në një kërkesë për bashkimin e miratuar më parë.
Informacione më të detajuara në lidhje me vulnerabilitetet e identifikuara planifikohet të publikohen pas 30 ditësh nga publikimi i korrigjimit. Informacioni për vulnerabilitetet është dërguar në GitLab në kuadër të programit të shpërblimeve për zbulesat e vulnerabiliteteve, që është në fuqi në HackerOne.
Burimi: opennet.ru
