Публикувани са коригиращи актуализации на платформата за съвместна разработка - GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 и 16.6.8, в които са отстранени 14 уязвимости. Една от проблемите (CVE-2024-5655), която се проявява от версия GitLab 15.8, е с критична степен на опасност. Уязвимостта позволява стартиране на pipeline задачи под произволен потребител. Изпълнението на задачи в контекста на друг потребител позволява на атакуващия достъп до вътрешни репозитории и затворени проекти на този потребител.
Информацията за уязвимостта е предадена на GitLab в рамките на активната програма за възнаграждение за откритие на уязвимости в HackerOne. Планира се подробна информация за уязвимостта да бъде разкрита 30 дни след публикуването на корекцията.
Допълнително може да се отбележи, че в представените актуализации на GitLab са отстранени три уязвимости, на които е присвоена висока степен на опасност: инжекция на JavaScript код (XSS) в коментарите на комитите, организиране на извиквания на GraphQL API от името на жертвата при отваряне на специално оформена страница (CSRF) и изтичане на съдържание от частни репозитории чрез използване на търсене в публични проекти.
Източник: opennet.ru
