В GitLab устранили критическую уязвимость, которая позволяла удаленным злоумышленникам получать доступ к учетным записям пользователей с помощью жестко заданных паролей. Проблема CVE-2022-1162 затрагивала как GitLab Community Edition (CE), так и Enterprise Edition (EE).
Разработчики объясняют, что статические пароли по ошибке устанавливались во время регистрации на основе OmniAuth в GitLab CE/EE.
«Для учетных записей, зарегистрированных с использованием OmniAuth (например, OAuth, LDAP, SAML) в GitLab CE/EE версий 14.7 до 14.7.7, 14.8 до 14.8.5 и 14.9 до 14.9.2, был установлен жестко закодированный пароль, в теории позволяющий злоумышленникам захватывать учетные записи», — объясняет команда GitLab в бюллетене безопасности.
Коммит, отправленный два дня назад, показывает, что GitLab удалила файл lib/gitlab/password.rb, который использовался для назначения жестко закодированного пароля константе TEST_DEFAULT.
Теперь GitLab призывает пользователей как можно скорее обновить все установки до последних версий (14.9.2, 14.8.5 или 14.7.7), чтобы защититься от возможных атак. Также разработчики добавили, что уже сбросили пароли некоторых пользователей GitLab.com, стремясь смягчить последствия CVE-2022-1162. При этом подчеркивается, что пока никаких признаков компрометации и эксплуатации этого бага хакерам обнаружено не было.
Хотя пока атак на уязвимость не зафиксировано, компания создала скрипт, который позволит администраторам найти учетные записи пользователей, потенциально уязвимых перед CVE-2022-1162. В случае обнаружения уязвимых аккаунтов администраторам рекомендуется немедленно сбросить их пароли.
