В GitLab обнаружили RCE-уязвимость, которая позволяет удалённо выполнять код на устройстве
GitLab выпустил исправление для критической RCE-уязвимости CVE-2022–2884 (CVSS 9.9), которая позволяет авторизованному хакеру удалённо выполнить код на устройстве через GitLab Import API. Уязвимость затрагивает выпуски GitLab Community Edition (CE) и Enterprise Edition (EE).
Первым её обнаружил исследователь с ником yvvdwf. Он сообщил об уязвимости через программу Bug Bounty от HackerOne.
Ошибка в GitLab CE/EE затрагивает версии с 11.3.4 до 15.1.5; с 15.2 до 15.2.3; с 15.3 до 15.3.1.
GitLab призывает пользователей оперативно установить обновления затронутых версий. Для тех, кто не может обновить прошивку, предоставили альтернативу. Платформа порекомендовала отключить функцию импорта GitLab на вкладке «Видимость и управление доступом» в меню «Настройки» после аутентификации в качестве администратора.
Информации о реальном использовании CVE-2022–2884 в атаках пока нет.
В мае вышел релиз GitLab 15.0. Разработчики объявили, что в будущих выпусках заменят встроенный редактор кода Web IDE на Visual Studio Code (VS Code) от Microsoft. Использование VS Code упростит разработку проектов в интерфейсе GitLab и позволит разработчикам использовать привычный и полнофункциональный инструмент редактирования кода.
