Byly zveřejněny opravné aktualizace platformy pro spolupráci na vývoji – GitLab 16.8.1, 16.7.4, 16.6.6 a 16.5.8, které odstranily 5 zranitelností. Jedné z problémů (CVE-2024-0402), která se objevuje od vydání GitLab 16.0, byla přiřazena kritická úroveň nebezpečí. Zranitelnost umožňuje autentizovanému uživateli zapisovat soubory do libovolného adresáře na serveru, pokud to dovolují přístupová práva, pod kterými běží webové rozhraní GitLab.
Zranitelnost je způsobena chybou v implementaci funkce vytváření pracovních prostorů (workspace). Chyba se projevuje při analýze parametrů devfile zadaných v nesprávném formátu YAML (v patchi byla otázka vyřešena převodem YAML na JSON a kontrolou přítomnosti struktur, které jsou v YAML platné, ale v JSON nepřijatelné kvůli použití určitých Unicode symbolů). Podrobné informace o zranitelnosti plánují zveřejnit 30 dní po vydání opravy. Zranitelnost byla odhalena při interním auditu jedním ze zaměstnanců společnosti GitLab.
Zdroj: opennet.ru
