ಹಲವಾರು ದಿನಗಳ ಹಿಂದೆ GitLab ಅನ್ನು ಬ್ಲಾಗ್ ಪೋಸ್ಟ್ ಮೂಲಕ ಅನಾವರಣಗೊಳಿಸಲಾಗಿದೆ ಎಂದು ಸಂಶೋಧಕರು ಬಹಿರಂಗಪಡಿಸಿದ್ದಾರೆ ದುರ್ಬಲತೆಯ ವಿವರಗಳು ಸುರಕ್ಷತೆಯನ್ನು ಈಗ GitLab ನಲ್ಲಿ ಪ್ಯಾಚ್ ಮಾಡಲಾಗಿದೆ, ಇದು ಓಪನ್ ಸೋರ್ಸ್ DevOps ಸಾಫ್ಟ್‌ವೇರ್ ಆಗಿದೆ, ಅದು ಬಳಕೆದಾರರಿಗೆ ಸಂಬಂಧಿಸಿದ ಮಾಹಿತಿಯನ್ನು ಹಿಂಪಡೆಯಲು ಅನಧಿಕೃತ ರಿಮೋಟ್ ಆಕ್ರಮಣಕಾರರಿಗೆ ಅವಕಾಶ ನೀಡುತ್ತದೆ.
ಮುಖ್ಯ ದುರ್ಬಲತೆ, ಇದು ಈಗಾಗಲೇ CVE-2021-4191 ಎಂದು ನೋಂದಾಯಿಸಲಾಗಿದೆ, ಇದು 13.0 ರಿಂದ GitLab ಸಮುದಾಯ ಆವೃತ್ತಿ ಮತ್ತು ಎಂಟರ್‌ಪ್ರೈಸ್ ಆವೃತ್ತಿಯ ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳ ಮೇಲೆ ಮತ್ತು 14.4 ರಿಂದ ಮತ್ತು 14.8 ಕ್ಕಿಂತ ಹಿಂದಿನ ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವ ಮಧ್ಯಮ ತೀವ್ರತೆಯ ದೋಷಕ್ಕೆ ಕಾರಣವಾಗಿದೆ.
7 ರ ನವೆಂಬರ್ 18 ರಂದು ಜವಾಬ್ದಾರಿಯುತ ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯ ನಂತರ, GitLab 2021, 14.8.2 ರಿಂದ ವಿಮರ್ಶಾತ್ಮಕ ಭದ್ರತಾ ಬಿಡುಗಡೆಗಳ ಭಾಗವಾಗಿ ಬಿಡುಗಡೆ ಮಾಡಿದ ದೋಷವನ್ನು ಕಂಡುಹಿಡಿದ ಮತ್ತು ವರದಿ ಮಾಡಿದ ಶ್ರೇಯಾಂಕವನ್ನು Rapid14.7.4 ನಲ್ಲಿನ ಹಿರಿಯ ಭದ್ರತಾ ಸಂಶೋಧಕ ಜೇಕ್ ಬೈನ್ಸ್ ಅವರು ಹೊಂದಿದ್ದಾರೆ. 14.6.5 ಮತ್ತು XNUMX ಇದು GitLab ರನ್ನರ್‌ನಲ್ಲಿ ನೋಂದಣಿ ಟೋಕನ್‌ಗಳನ್ನು ಗಣಿಗಾರಿಕೆ ಮಾಡಲು ಅನಧಿಕೃತ ಬಳಕೆದಾರರನ್ನು ಅನುಮತಿಸಬಹುದು, ನಿರಂತರ ಏಕೀಕರಣ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಪ್ರಾಜೆಕ್ಟ್ ಕೋಡ್ ರಚಿಸುವಾಗ ಕರೆ ನಿರ್ವಾಹಕರನ್ನು ಸಂಘಟಿಸಲು ಇದನ್ನು ಬಳಸಲಾಗುತ್ತದೆ.
"ಕೆಲವು GitLab GraphQL API ವಿನಂತಿಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವಾಗ ದೌರ್ಬಲ್ಯವು ಕಾಣೆಯಾದ ದೃಢೀಕರಣದ ಫಲಿತಾಂಶವಾಗಿದೆ" ಎಂದು ಬೈನ್ಸ್ ಹೇಳಿದರು. ಗುರುವಾರ ಬಿಡುಗಡೆ ಮಾಡಿದ ವರದಿಯಲ್ಲಿ ಉಲ್ಲೇಖಿಸಲಾಗಿದೆ. "GitLab ನೋಂದಾಯಿತ ಬಳಕೆದಾರಹೆಸರುಗಳು, ಹೆಸರುಗಳು ಮತ್ತು ಇಮೇಲ್ ವಿಳಾಸಗಳನ್ನು ಕೊಯ್ಲು ಮಾಡಲು ದೃಢೀಕರಿಸದ ರಿಮೋಟ್ ಆಕ್ರಮಣಕಾರರು ಈ ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಬಹುದು."
ಹೆಚ್ಚುವರಿಯಾಗಿ, ನೀವು ಕುಬರ್ನೆಟ್ಸ್ ಎಕ್ಸಿಕ್ಯೂಟರ್‌ಗಳನ್ನು ಬಳಸುತ್ತಿದ್ದರೆ, ನೀವು ಹೆಲ್ಮ್ ಚಾರ್ಟ್ ಮೌಲ್ಯಗಳನ್ನು ಹಸ್ತಚಾಲಿತವಾಗಿ ನವೀಕರಿಸಬೇಕು ಎಂದು ಉಲ್ಲೇಖಿಸಲಾಗಿದೆ. ಹೊಸ ನೋಂದಣಿ ಟೋಕನ್ ಜೊತೆಗೆ.
ಮತ್ತು 14.6 ಅಥವಾ ನಂತರದ ಆವೃತ್ತಿಗಳಲ್ಲಿ ಇಲ್ಲದ ಸ್ವಯಂ-ನಿರ್ವಹಣೆಯ ನಿದರ್ಶನಗಳಿಗೆ, GitLab ಹೊಂದಿದೆ ಪೋಸ್ಟ್ ಪ್ಯಾಚ್‌ಗಳು ದುರ್ಬಲತೆಯ ಮೂಲಕ ರನ್ನರ್ ನೋಂದಣಿ ಟೋಕನ್‌ನ ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯನ್ನು ತಗ್ಗಿಸಲು ಅನ್ವಯಿಸಬಹುದು ತ್ವರಿತ ಕ್ರಮಗಳು ಈ ತೇಪೆಗಳನ್ನು ತಾತ್ಕಾಲಿಕವೆಂದು ಪರಿಗಣಿಸಬೇಕು. ಯಾವುದೇ GitLab ನಿದರ್ಶನವನ್ನು 14.8.2, 14.7.4, ಅಥವಾ 14.6.5 ರ ಪ್ಯಾಚ್ ಮಾಡಿದ ಆವೃತ್ತಿಗೆ ಸಾಧ್ಯವಾದಷ್ಟು ಬೇಗ ನವೀಕರಿಸಬೇಕು.
ಯಶಸ್ವಿ API ಸೋರಿಕೆ ಶೋಷಣೆ ಗುರಿಗೆ ಸೇರಿದ ಕಾನೂನುಬದ್ಧ ಬಳಕೆದಾರಹೆಸರುಗಳ ಪಟ್ಟಿಗಳನ್ನು ಎಣಿಸಲು ಮತ್ತು ಕಂಪೈಲ್ ಮಾಡಲು ದುರುದ್ದೇಶಪೂರಿತ ನಟರಿಗೆ ಅವಕಾಶ ನೀಡಬಹುದು ಪಾಸ್‌ವರ್ಡ್ ಊಹೆ, ಪಾಸ್‌ವರ್ಡ್ ಸಿಂಪಡಿಸುವಿಕೆ ಮತ್ತು ರುಜುವಾತುಗಳನ್ನು ತುಂಬುವುದು ಸೇರಿದಂತೆ ವಿವೇಚನಾರಹಿತ ದಾಳಿಗಳನ್ನು ನಡೆಸಲು ಇದನ್ನು ಸ್ಪ್ರಿಂಗ್‌ಬೋರ್ಡ್‌ನಂತೆ ಬಳಸಬಹುದು.
"ಮಾಹಿತಿ ಸೋರಿಕೆಯು ಆಕ್ರಮಣಕಾರರಿಗೆ GitLab ಸ್ಥಾಪನೆಗಳ ಆಧಾರದ ಮೇಲೆ ಹೊಸ ಬಳಕೆದಾರ ವರ್ಡ್‌ಲಿಸ್ಟ್ ಅನ್ನು ರಚಿಸಲು ಅನುಮತಿಸುತ್ತದೆ, gitlab.com ನಿಂದ ಮಾತ್ರವಲ್ಲದೆ 50,000 ಇತರ ಇಂಟರ್ನೆಟ್-ಪ್ರವೇಶಿಸಬಹುದಾದ GitLab ನಿದರ್ಶನಗಳಿಂದಲೂ."
ಇದನ್ನು ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ ತಮ್ಮದೇ ಆದ GitLab ಸ್ಥಾಪನೆಗಳನ್ನು ನಿರ್ವಹಿಸುವ ಬಳಕೆದಾರರಿಗೆ ನವೀಕರಣವನ್ನು ಸ್ಥಾಪಿಸಲು ಅಥವಾ ಸಾಧ್ಯವಾದಷ್ಟು ಬೇಗ ಪ್ಯಾಚ್ ಅನ್ನು ಅನ್ವಯಿಸಲು. ಕ್ವಿಕ್ ಆಕ್ಷನ್ ಕಮಾಂಡ್‌ಗಳಿಗೆ ಬರವಣಿಗೆ ಅನುಮತಿಯನ್ನು ಹೊಂದಿರುವ ಬಳಕೆದಾರರಿಗೆ ಮಾತ್ರ ಪ್ರವೇಶವನ್ನು ಬಿಡುವ ಮೂಲಕ ಈ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸಲಾಗಿದೆ.
ನವೀಕರಣ ಅಥವಾ ವೈಯಕ್ತಿಕ "ಟೋಕನ್-ಪ್ರಿಫಿಕ್ಸ್" ಪ್ಯಾಚ್‌ಗಳನ್ನು ಸ್ಥಾಪಿಸಿದ ನಂತರ, ರನ್ನರ್‌ನಲ್ಲಿ ಗುಂಪುಗಳು ಮತ್ತು ಯೋಜನೆಗಳಿಗಾಗಿ ಹಿಂದೆ ರಚಿಸಲಾದ ನೋಂದಣಿ ಟೋಕನ್‌ಗಳನ್ನು ಮರುಹೊಂದಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಮರುಸೃಷ್ಟಿಸಲಾಗುತ್ತದೆ.
ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಯ ಜೊತೆಗೆ, ಬಿಡುಗಡೆಯಾದ ಹೊಸ ಆವೃತ್ತಿಗಳು 6 ಕಡಿಮೆ ಅಪಾಯಕಾರಿ ದೋಷಗಳಿಗೆ ಪರಿಹಾರಗಳನ್ನು ಒಳಗೊಂಡಿವೆ:
- ಪ್ರತಿಕ್ರಿಯೆ ಸಲ್ಲಿಕೆ ವ್ಯವಸ್ಥೆಯ ಮೂಲಕ DoS ದಾಳಿ: GitLab CE/EE ನಲ್ಲಿನ ಸಮಸ್ಯೆಯು 8.15 ರಿಂದ ಪ್ರಾರಂಭವಾಗುವ ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ. ಸಮಸ್ಯೆಯ ಕಾಮೆಂಟ್‌ಗಳಲ್ಲಿ ನಿರ್ದಿಷ್ಟ ಸೂತ್ರದೊಂದಿಗೆ ಗಣಿತ ಕಾರ್ಯವನ್ನು ಬಳಸಿಕೊಂಡು DOS ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಲು ಸಾಧ್ಯವಾಯಿತು.
- ಸವಲತ್ತು ಇಲ್ಲದ ಬಳಕೆದಾರರಿಂದ ಇತರ ಬಳಕೆದಾರರನ್ನು ಗುಂಪುಗಳಿಗೆ ಸೇರಿಸುವುದು: ಇದು 14.3.6 ಕ್ಕಿಂತ ಮೊದಲು ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ, 14.4 ರಿಂದ 14.4.4 ಕ್ಕಿಂತ ಮೊದಲು ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳು, 14.5 ರಿಂದ 14.5.2 ರ ಮೊದಲು ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳು. ಕೆಲವು ಷರತ್ತುಗಳ ಅಡಿಯಲ್ಲಿ, ವೆಬ್ UI ಮೂಲಕ ಸಾಧ್ಯವಾಗದಿದ್ದರೂ ಸಹ, GitLab REST API ಸವಲತ್ತು ಇಲ್ಲದ ಬಳಕೆದಾರರನ್ನು ಗುಂಪುಗಳಿಗೆ ಇತರ ಬಳಕೆದಾರರನ್ನು ಸೇರಿಸಲು ಅನುಮತಿಸುತ್ತದೆ.
- ತುಣುಕುಗಳ ವಿಷಯದ ಕುಶಲತೆಯ ಮೂಲಕ ಬಳಕೆದಾರರ ತಪ್ಪು ಮಾಹಿತಿ: ಅನಧಿಕೃತ ನಟನಿಗೆ ಮೋಸಗೊಳಿಸುವ ವಿಷಯದೊಂದಿಗೆ ತುಣುಕುಗಳನ್ನು ರಚಿಸಲು ಅನುಮತಿಸುತ್ತದೆ, ಇದು ಅನಿಯಂತ್ರಿತ ಆಜ್ಞೆಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಅನುಮಾನಿಸದ ಬಳಕೆದಾರರನ್ನು ಮೋಸಗೊಳಿಸುತ್ತದೆ
- "ಸೆಂಡ್‌ಮೇಲ್" ವಿತರಣಾ ವಿಧಾನದ ಮೂಲಕ ಪರಿಸರ ವೇರಿಯಬಲ್‌ಗಳ ಸೋರಿಕೆ: ಇಮೇಲ್‌ಗಳನ್ನು ಕಳುಹಿಸಲು ಸೆಂಡ್‌ಮೇಲ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು GitLab CE/EE ಯ ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳಲ್ಲಿ ತಪ್ಪಾದ ಇನ್‌ಪುಟ್ ಮೌಲ್ಯೀಕರಣವು ವಿಶೇಷವಾಗಿ ರಚಿಸಲಾದ ಇಮೇಲ್ ವಿಳಾಸಗಳ ಮೂಲಕ ಪರಿಸರ ವೇರಿಯಬಲ್‌ಗಳನ್ನು ಕದಿಯಲು ಅನಧಿಕೃತ ನಟನಿಗೆ ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತು.
- GraphQL API ಮೂಲಕ ಬಳಕೆದಾರರ ಉಪಸ್ಥಿತಿಯನ್ನು ನಿರ್ಧರಿಸುವುದು: ನಿರ್ಬಂಧಿತ ನೋಂದಣಿಗಳೊಂದಿಗೆ ಖಾಸಗಿ GitLab ನಿದರ್ಶನಗಳು GraphQL API ಮೂಲಕ ದೃಢೀಕರಿಸದ ಬಳಕೆದಾರರಿಂದ ಬಳಕೆದಾರರ ಎಣಿಕೆಗೆ ಗುರಿಯಾಗಬಹುದು
- ಪುಲ್ ಮೋಡ್‌ನಲ್ಲಿ SSH ಮೂಲಕ ರೆಪೊಸಿಟರಿಗಳನ್ನು ಪ್ರತಿಬಿಂಬಿಸುವಾಗ ಪಾಸ್‌ವರ್ಡ್ ಸೋರಿಕೆಯಾಗುತ್ತದೆ
ಅಂತಿಮವಾಗಿ ನೀವು ಅದರ ಬಗ್ಗೆ ಇನ್ನಷ್ಟು ತಿಳಿದುಕೊಳ್ಳಲು ಆಸಕ್ತಿ ಹೊಂದಿದ್ದರೆ, ನೀವು ವಿವರಗಳನ್ನು ಪರಿಶೀಲಿಸಬಹುದು ಕೆಳಗಿನ ಲಿಂಕ್.