Публикувани са коригиращи актуализации на платформата за съвместна разработка — GitLab 16.8.1, 16.7.4, 16.6.6 и 16.5.8, в които са отстранени 5 уязвимости. Едно от проблемите (CVE-2024-0402), което се проявява от версия GitLab 16.0, е оценено на критично ниво на опасност. Уязвимостта позволява на удостоверен потребител да записва файлове в всяка директория на сървера, в зависимост от правата за достъп, под които работи уеб интерфейсът на GitLab.
Уязвимостта е причинена от грешка в реализирането на функцията за създаване на работни пространства (workspace). Грешката се проявява при анализа на параметрите devfile, зададени в неправилен формат YAML (в патча проблемът е решен чрез преобразуване на YAML в JSON и проверка за наличие на конструкции, валидни в YAML, но недопустими в JSON поради използването на определени Unicode символи). Подробна информация за уязвимостта ще бъде разкрита 30 дни след публикуването на поправката. Уязвимостта е открита по време на вътрешна проверка от един от служителите на GitLab.
Източник: opennet.ru
