✔GitLab устраняет баг, связанный с запуском конвейеров от имени других пользователей - «Новости»

21 сентября 2023 627 Преимущества стилей / Отступы и поля / Добавления стилей / Новости / Вёрстка 0

Критическая уязвимость получила идентификатор CVE-2023-4998 (9,6 балла по шкале CVSS) и представляет опасность для GitLab Community Edition (CE) и Enterprise Edition (EE) версий с 13.12 по 16.2.7, а также с 16.3 по 16.3.4.

Проблему обнаружил ИБ-исследователь и багантер Йохан Карлссон (Johan Carlsson), которому удалось обойти патч для исправленной в августе проблемы CVE-2023-3932 и продемонстрировать, что этот баг может представлять более серьезную угрозу. После этого степень серьезности уязвимости повысилась до критической, и она получила новый CVE.

Запуск конвейера от имени другого пользователя, без его ведома и разрешения, может привести к тому, что злоумышленник получит доступ к конфиденциальной информации или сможет злоупотребить правами этого пользователя для выполнения кода, модификации данных или запуска определенных событий в GitLab.

В итоге такая компрометация может привести к потере интеллектуальной собственности, утечке данных, атаке на цепочку поставок и другим малоприятным сценариям.

В своем бюллетене безопасности разработчики GitLab подчеркивают серьезность проблемы и призывают пользователей как можно скорее применить уже доступные патчи: уязвимость устранена в составе GitLab Community Edition и Enterprise Edition 16.3.4 и 16.2.7.

«Мы настоятельно рекомендуем как можно скорее обновить до последней версии все установки, работающие под управлением версий, затронутых описанными выше проблемами», — предупреждают в GitLab.

Для пользователей более старых версий (до 16.2), которые пока не получили исправлений, в качестве временного решения проблемы предлагается не включать одновременно «Direct transfers» и «Security policies». Если обе эти функции активны, установка уязвима перед CVE-2023-4998, и поэтому настоятельно рекомендуется использовать их по очереди.

GitLab выпускает патчи для исправления критической уязвимости, которая позволяет запускать конвейеры (pipeline) от лица других пользователей, злоупотребляя для этого политиками запланированных сканирований безопасности. Критическая уязвимость получила идентификатор CVE-2023-4998 (9,6 балла по шкале CVSS) и представляет опасность для GitLab Community Edition (CE) и Enterprise Edition (EE) версий с 13.12 по 16.2.7, а также с 16.3 по 16.3.4. Проблему обнаружил ИБ-исследователь и багантер Йохан Карлссон (Johan Carlsson), которому удалось обойти патч для исправленной в августе проблемы CVE-2023-3932 и продемонстрировать, что этот баг может представлять более серьезную угрозу. После этого степень серьезности уязвимости повысилась до критической, и она получила новый CVE. Запуск конвейера от имени другого пользователя, без его ведома и разрешения, может привести к тому, что злоумышленник получит доступ к конфиденциальной информации или сможет злоупотребить правами этого пользователя для выполнения кода, модификации данных или запуска определенных событий в GitLab. В итоге такая компрометация может привести к потере интеллектуальной собственности, утечке данных, атаке на цепочку поставок и другим малоприятным сценариям. В своем бюллетене безопасности разработчики GitLab подчеркивают серьезность проблемы и призывают пользователей как можно скорее применить уже доступные патчи: уязвимость устранена в составе GitLab Community Edition и Enterprise Edition 16.3.4 и 16.2.7. «Мы настоятельно рекомендуем как можно скорее обновить до последней версии все установки, работающие под управлением версий, затронутых описанными выше проблемами», — предупреждают в GitLab. Для пользователей более старых версий (до 16.2), которые пока не получили исправлений, в качестве временного решения проблемы предлагается не включать одновременно «Direct transfers» и «Security policies». Если обе эти функции активны, установка уязвима перед CVE-2023-4998, и поэтому настоятельно рекомендуется использовать их по очереди.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.

Иллюстрация к статье - Яндекс. Картинки.

Есть вопросы. Напишите нам.

Общие правила поведения на сайте.