prieš kelias dienas „GitLab“ buvo pristatytas tinklaraščio įrašu kad mokslininkai atskleidė pažeidžiamumo detalės sauga dabar pataisyta „GitLab“, atvirojo kodo „DevOps“ programinėje įrangoje, kuri leistų neautentifikuotam nuotoliniam užpuolikui nuskaityti su vartotoju susijusią informaciją.
Pagrindinis pažeidžiamumas, kuris jau yra registruotas kaip CVE-2021-4191, tai priskiriama vidutinio sunkumo trūkumui, turinčiam įtakos visoms „GitLab Community Edition“ ir „Enterprise Edition“ versijoms nuo 13.0 bei visoms versijoms nuo 14.4 ir senesnėms nei 14.8.
Tai buvo Jake'as Beinesas, vyresnysis Rapid7 saugos tyrinėtojas, kuriam priskiriama atsakomybė už trūkumo atradimą ir apie tai pranešimą. Po atsakingo atskleidimo 18 m. lapkričio 2021 d. buvo išleisti pataisymai kaip svarbių saugos leidimų dalis. iš GitLab 14.8.2, 14.7.4. 14.6.5 ir XNUMX kurie gali leisti neteisėtam vartotojui išgauti registracijos žetonus „GitLab Runner“, kuri naudojama skambučių tvarkytuvams organizuoti kuriant projekto kodą nuolatinės integracijos sistemoje.
„Pažeidžiamumas atsirado dėl trūkstamos autentifikavimo patikros vykdant tam tikras GitLab GraphQL API užklausas“, - sakė Bainesas. minima ketvirtadienį paskelbtame pranešime. „Neautentifikuotas nuotolinis užpuolikas gali naudoti šį pažeidžiamumą, kad gautų GitLab registruotus naudotojų vardus, vardus ir el. pašto adresus.
Be to, paminėta, kad jei naudojate Kubernetes vykdytojus, turite rankiniu būdu atnaujinti Helm diagramos reikšmes. su nauju registracijos žetonu.
Ir tai savarankiškai valdomiems egzemplioriams, kurių versija nėra 14.6 ar naujesnė, „GitLab“ turi paskelbti pataisymai kuris gali būti taikomas siekiant sumažinti Runner registracijos prieigos rakto atskleidimą dėl pažeidžiamumo greitų veiksmų Šie pleistrai turėtų būti laikomi laikinais. Bet koks „GitLab“ egzempliorius turėtų būti kuo greičiau atnaujintas į pataisytą 14.8.2, 14.7.4 arba 14.6.5 versiją.
Sėkmingas API nutekėjimo išnaudojimas gali leisti piktybiniams veikėjams išvardyti ir sudaryti teisėtų naudotojo vardų, priklausančių taikiniui, sąrašus kuris gali būti naudojamas kaip tramplinas žiaurios jėgos atakoms vykdyti, įskaitant slaptažodžio atspėjimą, slaptažodžio išpurškimą ir kredencialų užpildymą.
„Informacijos nutekėjimas taip pat gali sudaryti galimybę užpuolikui sukurti naują vartotojo žodžių sąrašą, pagrįstą „GitLab“ diegimu, ne tik iš gitlab.com, bet ir iš 50,000 XNUMX kitų internetu pasiekiamų „GitLab“ egzempliorių.
Rekomenduojama vartotojams, kurie prižiūri savo „GitLab“ įrenginius kad kuo greičiau įdiegtumėte naujinimą arba pritaikytumėte pataisą. Ši problema buvo išspręsta paliekant prieigą prie greitų veiksmų komandų tik vartotojams, turintiems rašymo teisę.
Įdiegus naujinimą arba atskirus „žetono priešdėlio“ pataisas, anksčiau sukurti „Runner“ grupių ir projektų registracijos prieigos raktai bus nustatyti iš naujo ir atkurti.
Be kritinio pažeidžiamumo, naujose išleistose versijose taip pat yra pataisytų 6 mažiau pavojingų pažeidžiamumų:
- DoS ataka per atsiliepimų pateikimo sistemą: GitLab CE / EE problema, kuri turi įtakos visoms versijoms, pradedant nuo 8.15. DOS buvo galima suaktyvinti naudojant matematinę funkciją su konkrečia formule problemos komentaruose.
- Kitų vartotojų įtraukimas į grupes neprivilegijuoto vartotojo: kuris turi įtakos visoms versijoms iki 14.3.6, visoms versijoms nuo 14.4 iki 14.4.4, visoms versijoms nuo 14.5 iki 14.5.2. Tam tikromis sąlygomis „GitLab REST“ API gali leisti neprivilegijuotiems vartotojams į grupes įtraukti kitus vartotojus, net jei tai neįmanoma naudojant žiniatinklio vartotojo sąsają.
- Naudotojų klaidinga informacija manipuliuojant fragmentų turiniu: leidžia neįgaliotiems veikėjams kurti ištraukas su apgaulingu turiniu, kuris gali apgauti nieko neįtariančius vartotojus vykdyti savavališkas komandas
- Aplinkos kintamųjų nutekėjimas naudojant „sendmail“ pristatymo metodą: Neteisingas įvesties patvirtinimas visose „GitLab CE/EE“ versijose, naudojant „sendmail“ el. laiškams siųsti, leido neteisėtam veikėjui pavogti aplinkos kintamuosius naudojant specialiai sukurtus el. pašto adresus.
- Vartotojo buvimo nustatymas naudojant GraphQL API: Privatūs „GitLab“ egzemplioriai su apribotais registrais gali būti pažeidžiami neautentifikuotų naudotojų, naudojant „GraphQL“ API, sąrašo.
- slaptažodis nuteka, kai saugyklas atspindi per SSH traukimo režimu
Pagaliau jei norite sužinoti daugiau apie tai, išsamią informaciją galite patikrinti sekanti nuoroda.