कई दिन पहले में GitLab ने एक ब्लॉग पोस्ट के माध्यम से अपनी जानकारी दी जिसका खुलासा शोधकर्ताओं ने किया एक भेद्यता का विवरण सुरक्षा अब GitLab में पैच कर दी गई है, जो एक खुला स्रोत DevOps सॉफ़्टवेयर है, जो एक अप्रमाणित दूरस्थ हमलावर को उपयोगकर्ता से संबंधित जानकारी पुनर्प्राप्त करने की अनुमति दे सकता है।
मुख्य भेद्यता, जो पहले से ही है CVE-2021-4191 के रूप में पंजीकृत, इसे मध्यम गंभीरता दोष के लिए जिम्मेदार ठहराया गया है जो 13.0 के बाद से GitLab सामुदायिक संस्करण और एंटरप्राइज़ संस्करण के सभी संस्करणों और 14.4 के बाद से और 14.8 से पहले के सभी संस्करणों को प्रभावित करता है।
यह रैपिड7 के एक वरिष्ठ सुरक्षा शोधकर्ता जेक बेन्स थे, जिन्हें दोष की खोज करने और सूचित करने का श्रेय दिया जाता है, जिन्होंने 18 नवंबर, 2021 को जिम्मेदार प्रकटीकरण के बाद, महत्वपूर्ण सुरक्षा रिलीज के हिस्से के रूप में फिक्स जारी किए थे। GitLab 14.8.2, 14.7.4 और से 14.6.5 जो किसी अनधिकृत उपयोगकर्ता को GitLab Runner में पंजीकरण टोकन निकालने की अनुमति दे सकता है, जिसका उपयोग सतत एकीकरण प्रणाली में प्रोजेक्ट कोड बनाते समय कॉल हैंडलर को व्यवस्थित करने के लिए किया जाता है।
बैनेस ने कहा, "कुछ GitLab GraphQL API अनुरोधों को निष्पादित करते समय भेद्यता एक लापता प्रमाणीकरण जांच का परिणाम है।" गुरुवार को जारी एक रिपोर्ट में इसका जिक्र किया गया है. "एक अप्रमाणित दूरस्थ हमलावर इस भेद्यता का उपयोग GitLab के साथ पंजीकृत उपयोगकर्ता नाम, नाम और ईमेल पते को काटने के लिए कर सकता है।"
इसके अतिरिक्त, यह उल्लेख किया गया है कि यदि आप कुबेरनेट्स निष्पादकों का उपयोग कर रहे हैं, तो आपको हेल्म चार्ट के मानों को मैन्युअल रूप से अपडेट करना होगा नये पंजीकरण टोकन के साथ.
और वह स्व-प्रबंधित उदाहरणों के लिए जो 14.6 या उसके बाद के संस्करण पर नहीं हैं, GitLab के पास है जारी किए गए पैच जिसे भेद्यता के माध्यम से रनर पंजीकरण टोकन के प्रकटीकरण को कम करने के लिए लागू किया जा सकता है त्वरित कार्रवाई इन पैच को अस्थायी माना जाना चाहिए. किसी भी GitLab इंस्टेंस को यथाशीघ्र 14.8.2, 14.7.4, या 14.6.5 के पैच किए गए संस्करण में अद्यतन किया जाना चाहिए।
एपीआई सूचना लीक का सफल दोहन दुर्भावनापूर्ण अभिनेताओं को किसी लक्ष्य से संबंधित वैध उपयोक्तानामों की सूची गिनने और संकलित करने की अनुमति दे सकता है जिसे पासवर्ड अनुमान लगाने, पासवर्ड स्प्रेइंग और क्रेडेंशियल स्टफिंग सहित क्रूर बल के हमलों को अंजाम देने के लिए स्प्रिंगबोर्ड के रूप में उपयोग किया जा सकता है।
"सूचना लीक संभावित रूप से एक हमलावर को GitLab सुविधाओं के आधार पर एक नई उपयोगकर्ता वर्डलिस्ट बनाने की अनुमति देता है, न केवल gitlab.com से, बल्कि इंटरनेट से पहुंच योग्य अन्य 50,000 GitLab उदाहरणों से भी।"
यह सिफारिश की है उन उपयोगकर्ताओं के लिए जो अपना स्वयं का GitLab इंस्टॉलेशन बनाए रखते हैं कि वे यथाशीघ्र एक अद्यतन स्थापित करें या एक पैच लागू करें। केवल लिखने की अनुमति वाले उपयोगकर्ताओं के लिए त्वरित कार्रवाई आदेशों तक पहुंच छोड़कर इस समस्या का समाधान किया गया था।
अद्यतन या व्यक्तिगत टोकन-उपसर्ग पैच स्थापित करने के बाद, रनर में समूहों और परियोजनाओं के लिए पहले से बनाए गए पंजीकरण टोकन रीसेट और पुनर्जीवित किए जाएंगे।
गंभीर भेद्यता के अलावा, जारी किए गए नए संस्करणों में 6 कम खतरनाक कमजोरियों का समाधान भी शामिल है:
- टिप्पणी प्रस्तुतीकरण प्रणाली के माध्यम से एक DoS हमला: GitLab CE/EE में एक समस्या जो 8.15 से शुरू होने वाले सभी संस्करणों को प्रभावित करती है। समस्या टिप्पणियों में एक विशिष्ट सूत्र के साथ गणित फ़ंक्शन का उपयोग करके डॉस को ट्रिगर करना संभव था।
- किसी गैर-विशेषाधिकार प्राप्त उपयोगकर्ता द्वारा अन्य उपयोगकर्ताओं को समूहों में जोड़ना: जो 14.3.6 से पहले के सभी संस्करणों को, 14.4 से 14.4.4 से पहले के सभी संस्करणों को, 14.5 से 14.5.2 से पहले के सभी संस्करणों को प्रभावित करता है। कुछ शर्तों के तहत, GitLab REST API गैर-विशेषाधिकार प्राप्त उपयोगकर्ताओं को अन्य उपयोगकर्ताओं को समूहों में जोड़ने की अनुमति दे सकता है, भले ही वेब UI के माध्यम से यह संभव न हो।
- स्निपेट्स की सामग्री में हेरफेर के माध्यम से उपयोगकर्ताओं की गलत सूचना: एक अनधिकृत अभिनेता को भ्रामक सामग्री के साथ स्निपेट बनाने की अनुमति देता है, जो बिना सोचे-समझे उपयोगकर्ताओं को मनमाने आदेशों को निष्पादित करने के लिए प्रेरित कर सकता है
- "सेंडमेल" डिलीवरी पद्धति के माध्यम से पर्यावरण चर का लीक होना: ईमेल भेजने के लिए सेंडमेल का उपयोग करके GitLab CE/EE के सभी संस्करणों में गलत इनपुट सत्यापन ने एक अनधिकृत अभिनेता को विशेष रूप से तैयार किए गए ईमेल पते के माध्यम से पर्यावरण चर चोरी करने की अनुमति दी।
- GraphQL API के माध्यम से उपयोगकर्ताओं की उपस्थिति का निर्धारण: प्रतिबंधित रजिस्ट्रियों वाले निजी GitLab उदाहरण ग्राफक्यूएल एपीआई के माध्यम से अप्रमाणित उपयोगकर्ताओं द्वारा उपयोगकर्ता गणना के प्रति संवेदनशील हो सकते हैं
- पुल मोड में SSH पर रिपॉजिटरी को मिरर करते समय पासवर्ड लीक हो जाता है
अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं, आप में विवरण देख सकते हैं निम्नलिखित लिंक।