काही दिवसांपूर्वी मध्ये GitLab चे अनावरण ब्लॉग पोस्टद्वारे करण्यात आले संशोधकांनी हे उघड केले आहे असुरक्षिततेचे तपशील GitLab मध्ये आता सुरक्षितता पॅच केली आहे, एक ओपन सोर्स DevOps सॉफ्टवेअर, जे अनधिकृत रिमोट आक्रमणकर्त्यास वापरकर्त्याशी संबंधित माहिती पुनर्प्राप्त करण्यास अनुमती देऊ शकते.
मुख्य भेद्यता, जे आधीच आहे CVE-2021-4191 म्हणून नोंदणीकृत, 13.0 पासून GitLab Community Edition आणि Enterprise Edition च्या सर्व आवृत्त्यांवर आणि 14.4 आणि 14.8 पेक्षा पूर्वीच्या सर्व आवृत्त्यांवर परिणाम करणाऱ्या मध्यम तीव्रतेच्या दोषास त्याचे श्रेय दिले जाते.
Rapid7 चे वरिष्ठ सुरक्षा संशोधक जेक बेन्स होते, ज्यांना दोष शोधण्याचे आणि अहवाल देण्याचे श्रेय दिले जाते, ज्यांनी 18 नोव्हेंबर 2021 रोजी जबाबदार प्रकटीकरणानंतर, GitLab 14.8.2, 14.7.4 वरून गंभीर सुरक्षा प्रकाशनांचा भाग म्हणून निराकरणे जारी केली होती. 14.6.5 आणि XNUMX जे GitLab Runner मध्ये अनधिकृत वापरकर्त्याला नोंदणी टोकन खाण करण्याची परवानगी देऊ शकते, ज्याचा वापर सतत एकीकरण प्रणालीमध्ये प्रोजेक्ट कोड तयार करताना कॉल हँडलर आयोजित करण्यासाठी केला जातो.
"विशिष्ट GitLab GraphQL API विनंत्या कार्यान्वित करताना गहाळ प्रमाणीकरण तपासणीचा परिणाम म्हणजे भेद्यता," बेन्स म्हणाले. गुरुवारी प्रसिद्ध झालेल्या अहवालात नमूद केले आहे. "एक अप्रमाणित रिमोट हल्लेखोर GitLab नोंदणीकृत वापरकर्तानावे, नावे आणि ईमेल पत्ते काढण्यासाठी या भेद्यतेचा वापर करू शकतो."
याव्यतिरिक्त, तुम्ही कुबर्नेट्स एक्झिक्युटर्स वापरत असल्यास, तुम्ही हेल्म चार्ट मूल्ये व्यक्तिचलितपणे अद्यतनित करणे आवश्यक आहे. नवीन नोंदणी टोकनसह.
आणि 14.6 किंवा नंतरच्या आवृत्तीवर नसलेल्या स्वयं-व्यवस्थापित उदाहरणांसाठी, GitLab कडे आहे पॅच पोस्ट केले असुरक्षिततेद्वारे रनर नोंदणी टोकनचे प्रकटीकरण कमी करण्यासाठी लागू केले जाऊ शकते जलद कृती हे पॅचेस तात्पुरते मानले पाहिजेत. कोणतीही GitLab उदाहरण शक्य तितक्या लवकर 14.8.2, 14.7.4, किंवा 14.6.5 च्या पॅच केलेल्या आवृत्तीवर अद्यतनित केले जावे.
यशस्वी API लीक शोषण दुर्भावनापूर्ण अभिनेत्यांना लक्ष्याशी संबंधित कायदेशीर वापरकर्तानावांची गणना आणि संकलित करण्याची अनुमती देऊ शकते ज्याचा वापर पासवर्ड अंदाज, पासवर्ड फवारणी आणि क्रेडेन्शियल स्टफिंगसह ब्रूट-फोर्स हल्ले करण्यासाठी स्प्रिंगबोर्ड म्हणून केला जाऊ शकतो.
"माहिती गळतीमुळे आक्रमणकर्त्याला Gitlab.com वरूनच नव्हे तर इतर 50,000 इंटरनेट-प्रवेशयोग्य GitLab उदाहरणांवर आधारित GitLab इंस्टॉलेशन्सवर आधारित नवीन वापरकर्ता शब्दसूची तयार करण्याची परवानगी देखील मिळते."
याची शिफारस केली जाते जे वापरकर्ते त्यांचे स्वतःचे GitLab इंस्टॉलेशन राखतात अपडेट स्थापित करण्यासाठी किंवा शक्य तितक्या लवकर पॅच लागू करण्यासाठी. केवळ लेखन परवानगी असलेल्या वापरकर्त्यांना द्रुत कृती आदेशांचा प्रवेश सोडून या समस्येचे निराकरण करण्यात आले.
अपडेट किंवा वैयक्तिक "टोकन-प्रीफिक्स" पॅच स्थापित केल्यानंतर, रनरमधील गट आणि प्रकल्पांसाठी पूर्वी तयार केलेले नोंदणी टोकन रीसेट केले जातील आणि पुन्हा निर्माण केले जातील.
गंभीर असुरक्षा व्यतिरिक्त, रिलीझ झालेल्या नवीन आवृत्त्यांमध्ये 6 कमी धोकादायक भेद्यतेचे निराकरण देखील समाविष्ट आहे:
- फीडबॅक सबमिशन सिस्टमद्वारे DoS हल्ला: GitLab CE/EE मधील समस्या जी 8.15 पासून सुरू होणाऱ्या सर्व आवृत्त्यांवर परिणाम करते. समस्या टिप्पण्यांमध्ये विशिष्ट सूत्रासह गणित कार्य वापरून डॉस सक्रिय करणे शक्य होते.
- विशेषाधिकार नसलेल्या वापरकर्त्याद्वारे इतर वापरकर्त्यांना गटांमध्ये जोडणे: जे 14.3.6 पूर्वीच्या सर्व आवृत्त्यांवर, 14.4 पूर्वीच्या 14.4.4 पासूनच्या सर्व आवृत्त्यांवर, 14.5 पूर्वीच्या 14.5.2 पासूनच्या सर्व आवृत्त्यांवर परिणाम करते. विशिष्ट परिस्थितींमध्ये, GitLab REST API गैर-विशेषाधिकारित वापरकर्त्यांना इतर वापरकर्त्यांना गटांमध्ये जोडण्याची परवानगी देऊ शकते, जरी ते वेब UI द्वारे शक्य नसले तरीही.
- स्निपेट्सच्या सामग्रीच्या हाताळणीद्वारे वापरकर्त्यांची चुकीची माहिती: अनधिकृत अभिनेत्याला फसव्या सामग्रीसह स्निपेट्स तयार करण्यास अनुमती देते, जे संशयास्पद वापरकर्त्यांना अनियंत्रित आदेशांची अंमलबजावणी करण्यास फसवू शकते
- "सेंडमेल" वितरण पद्धतीद्वारे पर्यावरणीय चलांची गळती: ईमेल पाठवण्यासाठी सेंडमेल वापरून GitLab CE/EE च्या सर्व आवृत्त्यांवर चुकीच्या इनपुट प्रमाणीकरणामुळे एका अनधिकृत अभिनेत्याला खास तयार केलेल्या ईमेल पत्त्यांद्वारे पर्यावरण व्हेरिएबल्स चोरण्याची परवानगी दिली.
- GraphQL API द्वारे वापरकर्त्याची उपस्थिती निश्चित करणे: GraphQL API द्वारे अप्रमाणित वापरकर्त्यांद्वारे प्रतिबंधित नोंदणीसह खाजगी GitLab उदाहरणे वापरकर्ता गणनेसाठी असुरक्षित असू शकतात
- पुल मोडमध्ये SSH द्वारे रेपॉजिटरीज मिरर करताना पासवर्ड लीक होतो
शेवटी आपल्याला त्याबद्दल अधिक जाणून घेण्यात स्वारस्य असल्यास, आपण मधील तपशील तपासू शकता खालील दुवा.