The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

03.05.2016 10:45  В GitLab устранена критическая уязвимость

Выпущены внеплановые корректирующие обновления платформы для организации совместной разработки GitLab 8.7.1, 8.6.8, 8.5.12, 8.4.10, 8.3.9 и 8.2.5, в которых устранена критическая уязвимость (CVE-2016-4340), позволяющая поднять свои привилегии в системе. Проблема присутствует в режиме "impersonate", появившемся в GitLab 8.2, и позволяет любому аутентифицированному пользователю войти в систему под другим пользователем, в том числе под администратором.

В качестве обходных способов для блокирования уязвимости можно добавить в настройки /etc/gitlab/gitlab.rb строку


nginx['custom_gitlab_server_config'] = "location ^~ /admin/users/stop_impersonation { deny all; }\n"

и перезапустить GitLab ("sudo gitlab-ctl reconfigure") или заблокировать доступ к обработчику /admin/users/stop_impersonation на уровне http-сервера:

Nginx:
   location ^~ /admin/users/stop_impersonation { deny all; }

Apache:
    ‹LocationMatch "^/admin/users/stop_impersonation"›
     Order Deny,Allow
     Deny from all
    ‹/LocationMatch›

HAProxy:
   acl is_stop_impersonation  path_beg         /admin/users/stop_impersonation
   acl is_delete method DELETE
   http-request deny if is_delete is_stop_impersonation

Кроме того, в новых выпусках устранено ещё несколько уязвимостей: повышение привилегий через notes API (можно добавить произвольное примечание к любому запросу на изменение или сообщению), повышение привилегий через webhook API (можно читать и удалять webhooks приватных проектов), четыре XSS-уязвимости (межсайтовый скриптинг) и четыре утечки закрытой информации.

  1. Главная ссылка к новости (https://about.gitlab.com/2016/...)
  2. OpenNews: Критические уязвимости в GitLab
  3. OpenNews: GitHub и SourceForge признаны неприемлемыми для размещения кода проектов GNU
  4. OpenNews: Выпуск открытой платформы для организации совместной разработки GitLab 8.0
  5. OpenNews: Доступен Gitlab 8.2 с поддержкой хранилища больших файлов Git LFS
  6. OpenNews: Выпуск GitLab 8.3
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: gitlab
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, vitalif, 10:54, 03/05/2016 [ответить] [смотреть все]
  • +5 +/
    в линкоре обнаружена дыра размером с линкор
     
     
  • 2.9, Анончег, 22:26, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]
  • +1 +/
    Так, так, тень Столлмана намедни всем ГитХХХ буковки присваивала, а ГитЛаб какую... весь текст скрыт [показать] [показать ветку]
     
  • 1.2, Аноним, 11:09, 03/05/2016 [ответить] [смотреть все]  
  • +8 +/
    Фонд СПО продолжает советовать GitLab, более того он поднял рейтинг GitLab до уровня "A+" (https://www.opennet.ru/opennews/art.shtml?num=44313 ) так как GitLab теперь обеспечивает полную свободу доступа.
     
     
  • 2.6, Аноним, 16:06, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    GitLab отнесён к категории "C"
     
     
  • 3.8, Аноним, 17:27, 03/05/2016 [^] [ответить] [смотреть все]  
  • +/
    XXL fastfood
     
  • 2.11, бедный буратино, 05:30, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    ну, когда любой может стать администратором - это, разумеется, высшая форма своб... весь текст скрыт [показать] [показать ветку]
     
  • 1.3, й, 12:35, 03/05/2016 [ответить] [смотреть все]  
  • +/
    дырка смешная, да. есть ли self-hosted альтернативы, кроме gogs и gitweb?
     
     
  • 2.4, Аноним, 13:48, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    https en wikipedia org wiki Kallithea_ 28software 29 Говорят оно глючное, одна... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.5, й, 14:36, 03/05/2016 [^] [ответить] [смотреть все]  
  • +/
    а там точно есть git over ssh? дока только про hg говорит.
     
  • 1.7, Аноним, 16:24, 03/05/2016 [ответить] [смотреть все]  
  • +/
    git over ssh - есть, и over http https Говорят, на солнце пятна как по мне, ... весь текст скрыт [показать]
     
     
  • 2.10, Анончег, 22:28, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    > ...(большой команды пока нет, протестировать не можем).

    Как будет не забудь сообщить результаты, ждём.


     
     
  • 3.19, Аноним, 18:05, 06/05/2016 [^] [ответить] [смотреть все]  
  • +/
    А Вы следите за нашими успехами?
     
     
  • 4.20, Анончег, 21:59, 06/05/2016 [^] [ответить] [смотреть все]  
  • +/
    > А Вы следите за нашими успехами?

    После таких громогласных заявлений стали следить, причём с большим интересом.

     
  • 2.13, freehck, 11:54, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    У нас команда порядка 40 человек. Пользуемся GitLab, работает стабильно, нареканий нет.
     
     
  • 3.14, бедный буратино, 12:16, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    > У нас команда порядка 40 человек. Пользуемся GitLab, работает стабильно, нареканий нет.

    ... и все поголовно администраторы в белых штанах... :)

     
     
  • 4.17, Аноним, 01:01, 06/05/2016 [^] [ответить] [смотреть все]  
  • +/
    В малиновых же. :)
     
  • 4.21, freehck, 17:59, 11/05/2016 [^] [ответить] [смотреть все]  
  • +/
    Не совсем. Теперь я - администратор в белых штанах. :)
     
  • 1.12, бедный буратино, 05:33, 04/05/2016 [ответить] [смотреть все]  
  • –3 +/
    если бы там ещё иссуи были да и громоздкое оно самое кучерявое - это fossil, м... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor TopList