The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Уязвимость в GitLab, позволяющая получить доступ к токенам Runner

27.02.2022 08:11

В корректирующих обновлениях платформы для организации совместной разработки GitLab 14.8.2, 14.7.4 и 14.6.5 устранена критическая уязвимость (CVE-2022-0735), позволяющая неавторизированному пользователю извлечь токены регистрации в GitLab Runner, применяемом для организации вызова обработчиков при сборке кода проекта в системе непрерывной интеграции. Детали пока не приводятся, упоминается лишь то, что проблема вызвана утечкой информации при использовании команд Quick Actions.

Проблема выявлена сотрудниками GitLab и охватывает версии с 12.10 по 14.6.5, с 14.7 по 14.7.4, и с 14.8 по 14.8.2. Пользователям, поддерживающим собственные установки GitLab, рекомендуется как можно скорее установить обновление или применить патч. Проблема устранена через оставление доступа к командам Quick Actions только для пользователей, имеющих полномочие на запись. После установки обновления или отдельных патчей "token-prefix", ранее созданные для групп и проектов токены регистрации в Runner будут сброшены и сгенерированы заново.

Кроме критической уязвимости в новых версиях также устранено 6 менее опасных уязвимостей, которые могут привести к добавлению непривилегированным пользователем других пользователей в группы, дезинформации пользователей через манипуляцию с содержимым Snippet-ов, утечке переменных окружения через метод доставки sendmail, определению наличия пользователей через API GraphQL, утечке паролей при зеркалировании репозиториев по SSH в режиме pull, DoS-атаке через систему отправки комментариев.

  1. Главная ссылка к новости (https://about.gitlab.com/relea...)
  2. OpenNews: Проект CentOS переходит на разработку с использованием GitLab
  3. OpenNews: Захват контроля над уязвимыми серверами GitLab для вовлечения в проведение DDoS-атак
  4. OpenNews: GitLab вводит проверку по номеру кредитной карты для запуска обработчиков в CI
  5. OpenNews: Принадлежащий GitLab сервис Gitter использует методы скрытой идентификации пользователей
  6. OpenNews: Уязвимость в GitHub Actions, допускающая подстановку команд
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/56768-gitlab
Ключевые слова: gitlab
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (3) RSS
  • 1.8, Аноним (8), 21:48, 27/02/2022 [ответить]  
  • +/
    Что-то у них явно не то с архитектурой раз постоянно всплывают дырищи даже авторизации не требующие =\
     
     
  • 2.10, Анто Нимно (?), 00:35, 28/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    А помотри историю развития условий запуска джобы. Начали одно, не доделали до конца, сделали другое. В итоге и то и то до обычного "if с регулярками" нормально недотягивает, реализация выглядит сумбуром мысли в спешке.

    Ну и дальше в нём всё остальное так же.

    Но зато в Омнибусе инсталлировал и сразу можно девить и ляпать. В этом есть, безусловно, притягательность... порока.

    Попытки какие-то притензий к заплатившим им за работу денег...

    Такой продукт - привлекательно, но некрасиво.

     

  • 1.9, Анто Нимно (?), 00:31, 28/02/2022 [ответить]  
  • +/
    GitLab - фич много, красоты нет.

    Жёстко навязанный, неменяемый процесс.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2022 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру