The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимость в GitLab, позволяющая запустить pipeline-работы под другим пользователем

27.06.2024 09:47

Опубликованы корректирующие обновления платформы для организации совместной разработки - GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 и 16.6.8, в которых устранены 14 уязвимостей. Одной из проблем (СVE-2024-5655), которая проявляется начиная с выпуска GitLab 15.8, присвоен критический уровень опасности. Уязвимость позволяет запустить работы в конвейере непрерывной интеграции (pipeline jobs) под произвольным пользователем. Выполнение своей работы в контексте другого пользователя позволяет атакующему получить доступ к внутренним репозиториям и закрытым проектам этого пользователя.

Сведения об уязвимости переданы в GitLab в рамках действующей на HackerOne программы выплаты вознаграждений за обнаружение уязвимостей. Детальную информацию об уязвимости планируют раскрыть через 30 дней после публикации исправления.

Дополнительно можно отметить устранение в представленных обновлениях GitLab трёх уязвимостей, которым присвоен высокий уровень опасности: подстановка JavaScript-кода (XSS) в примечаниях к коммитам, организация обращения к GraphQL API от лица жертвы при открытии специально оформленной страницы (CSRF) и утечка содержимого приватных репозиториев через использование поиска в публичных проектах.

  1. Главная ссылка к новости (https://about.gitlab.com/relea...)
  2. OpenNews: Уязвимость в GitLab, позволяющая записать файлы в произвольный каталог на сервере
  3. OpenNews: Уязвимости в GitLab, позволяющие захватить учётную запись и выполнить команды под другим пользователем
  4. OpenNews: Критическая уязвимость в GitLab, позволяющая запустить pipeline-работы под другим пользователем
  5. OpenNews: Уязвимость в GitLab 16, позволяющая прочитать файлы на сервере (доступен эксплоит)
  6. OpenNews: Уязвимость в GitLab, позволяющая запустить код при сборке в CI любого проекта
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/61445-gitlab
Ключевые слова: gitlab
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (30) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 10:04, 27/06/2024 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • –1 +/
     

     ....ответы скрыты (4)

  • 1.2, Аноним (2), 10:12, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ссылка на собстна сам CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-5655
     
  • 1.3, Аноним (3), 10:17, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Речь же про user gitlab а не user воркера, где выполняется сборка ?
    А то первый мой вопрос после прочтения заголовка,
    "Блин да как они находят такие лазейки ? "
     
     
  • 2.4, Аноним (1), 10:44, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    А у меня блин как эта компания с корнями из СНГ так умудряется вставить лазейку что её находят.
     
     
  • 3.7, Аноним (7), 11:00, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Они не лазейку ставят. Это действительно ошибки, стимулированные культурой разработки.

    Например, при работе с регулярками у них был один недоделанный вариант, потом стал другой неполный.

    Т.е. они в угоду запроса на фичи пилят туда, куда деньги тянут, а остальное и остальные страдают.

    Всегда был продукт без нужной гибкости, без нужного, но с удобным интерфейсом для хомячков. Увы: интефейс Ок, внутренности не к делу.

     
     
  • 4.18, Аноним (-), 15:37, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Всегда был продукт без нужной гибкости, без нужного, но с удобным интерфейсом для хомячков.

    Что за бред?

    > они в угоду запроса на фичи пилят туда, куда деньги тянут, а остальное и остальные страдают.

    Такое ощущение что вы вообще не знаете что такое приоретизация задач.
    Если что-то нужно 1% аудитории, а что-то 99%, то буду делать второе.
    За исключением тех случаев, когда этот 1% даст больше профита. Но как видим - нет))

    > без нужной гибкости, без нужного

    Какой гибкости? Нужное кому? Полутора зapoтaм?

    > но с удобным интерфейсом для хомячков

    Интерфейс должен быть удобен для большинства.
    И если меньшинству хочется прдлтся с TUI или чем-то подобным - то это их дело.

     
     
  • 5.20, Аноним (-), 15:51, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Интерфейс должен быть удобен для большинства.

    Это не всегда работает. Может быть множество мелких групп, у каждой свои запросы к интерфейсу, и для каждой есть блокирующий запрос, который не позволяет им пользоваться продуктом. Таким образом, может оказаться, что ориентируясь на "большинство" ты игнорируешь большинство. Что хуже, ты будешь слышать преимущественно голоса тех, кто уже пользуется твоим продуктом, а это значит что ты будешь заниматься фичами, которые не столь критичны (люди ведь пользуются продуктом несмотря на отсутствие этих фичей, так?), в ущерб фичам, которые для кого-то критичны настолько, что он даже не рассматривает возможность пользоваться твоим продуктом.

    Прогибаться под юзверей и делать как они просят -- это та самая дорога в ад, которая была выстлана благими намерениями. Даже если тебе при этом кажется, что ты максимизируешь прибыль. Максимизация краткосрочная, в долгосрочной перспективе тебя ждёт вытеснение в какую-то узкую нишку, а со временем и схлопывание этой нишки, потому что конкуренты, кто работал над тем, чтобы как можно больше клиентов привлечь, могут предоставить твоим пользователям всё то же, что и ты, плюс ещё сверху ништяков.

    Это та самая причина, почему методы статистических исследований должны преподаваться в любом ВУЗе. В частности в этом курсе должна разбираться Against Prediction, поскольку эта книга в принципе нацелена на разбор тех граблей, на которые можно наступить если свою деятельность направлять статистикой.

     
     
  • 6.22, Аноним (-), 16:29, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > который не позволяет им пользоваться продуктом

    Значит это не пользователи, а только потенциальные пользователи.
    И вот далеко не факт, что исправив их "блокирующий запрос" они начнут пользоваться продуктом, а не начнут докидывать хотелки. Мы же не хотим "прогибаться под юзверей"))

    > люди ведь пользуются продуктом несмотря на отсутствие этих фичей, так?

    Так. Но потом кто-то это сделает и они перейдут к нему.

    > Прогибаться под юзверей и делать как они просят -- это та самая дорога в ад, которая была выстлана благими намерениями.

    Должен быть баланс.
    - Если ты будешь забивать на текущую аудиторию - ты ее потеряешь.
    - Если ты будешь игнорить запросы потенциальных пользователей - то не будешь привлекать новую аудиторию. Вопрос насколько эти пользователи потенциальные, а не просто мимокрокодилы - оставим за скобками.
    - Если ты начнешь удовлетворять всяких маргинальные хотелки - то ты погрязнешь в сложности поддержки, потому что тянуть N интерфейсов или M реализаций фичей, особенно если они не атомарные, а влияют друг на друга, тот еще адок. Ты получишь напр. +0,1% новых юзеров и потеряешь 1% старых, потому что ты перенаправил ресурсы на неприоритетное направление. А текущим юзерам ждать надоело.

    Приходится искать какое-то парето-оптимальное решение.

    > потому что конкуренты, кто работал над тем, чтобы как можно больше клиентов привлечь

    Которые в такой же ситуации как и ты. У них точно также ограниченные ресурсы. И им также нужно приоритизировать задачи.
    И пока они буду удовлетворять хотелки меньшинств - я реализую хотелки большинства и уже получу от них профит в виде максимального охвата аудитории/рынка. А вот потом уже имея ресурсы буду закрывать другие хотелки.
    А у них ресурсов будет меньше просто потому что меньшинство на то и меньшинство.

     
     
  • 7.29, Аноним (29), 21:33, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Приходится искать какое-то парето-оптимальное решение.

    Да, на основании анализа хотелок всей потенциальной клиентуры, с учётом того, что там у конкурентов происходит, и всё это дело выливается в какую-то сложную стратегию, включающую как активные элементы так и реактивные.

    Но я о другом, что если стратегия сводится к удовлетворению потребностей тех, кто уже у тебя, то это провальная стратегия.

    > А у них ресурсов будет меньше просто потому что меньшинство на то и меньшинство.

    Да, у github'а, например, будет меньше ресурсов, потому что майкрософт будет же жидиться как может, так?

    Ты видимо не интересовался тем, как всякие Uber'ы уничтожали уже сложившиеся таксопарки, работая себе в убыток на деньги инвесторов, да? Или основные претензии к Китаю от США, по поводу электромобилей в том, что Китай субсидирует все эти разработки, и китайский автопром имеет возможность продавать конечную продукцию по ценам ниже себестоимости.

    Или любимое на опеннете противостояние ff и chrome: chrome разрабатывается гуглом, как вспомогательный инструмент для того, чтобы контролировать web и рынок рекламы, и mozilla может хоть как там мухой на стекле выёживаться, она всегда будет аутсайдером. И дело вовсе не в количестве пользователей, количество пользователей это в частности результат политики гугла, который, например, последовательно ломает свои сервисы для ff, который предустанавливает хром на мобилах.

    Не надо полагаться на то, что все в равных условиях, мир не справедлив, и об этом не надо забывать никогда.

     
  • 6.32, Аноним (32), 01:23, 28/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Я вообще не понимаю, как можно сравнивать "10 юзеров попросили фичу А" и "100 юзеров попросили фичу Б"! Дело-то ВООБЩЕ НЕ В ЦИФРАХ! В первую очередь разраб должен думать о самих фичах и их перспективности, а не сколько хомячков её просят. Может так статься, что он вообще напишет фичу "Ц", которая будет объединением А и Б + что-то перспективное. Никогда нельзя идти на поводу у статистики - сначала думать, а только потом решать, что именно надо написать.
     
  • 5.23, YetAnotherOnanym (ok), 17:16, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Если что-то нужно 1% аудитории, а что-то 99%, и этот 1% платит, а те 99% - нет, то буду делать то, что нужно 1%.
     
     
  • 6.25, Аноним (-), 17:43, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Эм... там именно так и написано:
    "За исключением тех случаев, когда этот 1% даст больше профита."
    А если 99% тоже будут платить, но меньше чем 1%, то тоже сделают, возможно как эксклюзив для 1%.
     
  • 6.26, Аноним (-), 17:43, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Если что-то нужно 1% аудитории, а что-то 99%, и этот 1% платит,
    > а те 99% - нет, то буду делать то, что нужно 1%.

    Давай стразу договоримся считать юзеров (даже потенциальных) тех кто деньги платит.
    Остальные - это просто нахлебники с небольшим процентов конвертации (в некоторых отраслях 5% считается манной небесной)


     
     
  • 7.30, YetAnotherOnanym (ok), 22:50, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Извини, но "use" - это "пользоваться", а не "платить".
     
  • 4.19, Fyjy (-), 15:44, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > они в угоду запроса на фичи пилят туда, куда деньги тянут, а остальное и остальные страдают.

    Так если не будет
    фич -> не будет денег
    не будет денег -> не будет разработки
    (вообще какой либо, то что так полтора ўасяна напрограммят не считается)
    не будет разработки -> пострадают все
    не будет дворца -> не будет дворца (с)

     

  • 1.8, Аноним (-), 11:03, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Вот что происходит, когда доверяешь свою репу каким-то некомпетентным ребятам.
    А не серьезной компании типа гитхаба.
    И сколько людей поверили мантрам и пошли хранить код к бракоделам?
    Надеюсь это станет для них уроком.
     
     
  • 2.12, Аноним (13), 13:43, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Что то на рубях, что это. А значит, культура разработки соответствующая (индусы либо румыны пинают полуразложившееся легаси с традиционными песнями и плясками), и дыр плюс-минус столько же.
     
  • 2.24, YetAnotherOnanym (ok), 17:19, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > серьезной компании типа гитхаба

    Так толсто, что аж тонко. Зачот.

     

  • 1.10, Fyjy (-), 11:10, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Хм... относительно недавно была новость за сентябрь 2023
    "Критическая уязвимость в GitLab, позволяющая запустить pipeline-работы под другим пользователем"
    opennet.ru/opennews/art.shtml?num=59782

    И тут опять /_-
    Они вообще ничему не учатся?

     

  • 1.15, Соль земли (?), 14:19, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > подстановка JavaScript-кода (XSS) в примечаниях к коммитам

    зачем запускать примечания? это же просто текст!

     
     
  • 2.16, Аноним (13), 14:55, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    В рамках HTML можно запустить любой элемент страницы (при недостаточно хорошем экранировании).
     

  • 1.17, Аноним (17), 15:23, 27/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Так ведь раннер запускается не от рута, а значит не может сменить пользователя на произвольного в общем случае.  
    Ой, блин, щас глянул: от рута =)
     
     
  • 2.27, penetrator (?), 19:12, 27/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    не думаю, что это вообще связано

    скорее всего пострадали только шареные ранеры, суть в том, из под какого юзера ты код забрать можешь, а не локальный юзер на билд сервере

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру