Byly vydány opravné aktualizace platformy pro spolupráci - GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 a 16.6.8, které řeší 14 zranitelností. Jedné z problémů (CVE-2024-5655), která se projevuje od vydání GitLab 15.8, byla přidělena kritická úroveň závažnosti. Zranitelnost umožňuje spustit úlohy v kontinuálním integračním kanálu (pipeline jobs) jako libovolný uživatel. Spuštění vlastní úlohy v kontextu jiného uživatele umožňuje útočníkovi získat přístup k interním repozitářům a soukromým projektům tohoto uživatele.
Informace o zranitelnosti byly předány do GitLab v rámci aktuální program na HackerOne pro vyplácení odměn za nalezení zranitelností. Podrobné informace o zranitelnosti budou zveřejněny po 30 dnech od vydání opravy.
Dále lze zmínit odstranění ve zveřejněných aktualizacích GitLab tří zranitelností, kterým byla přidělena vysoká úroveň závažnosti: injekce JavaScriptu (XSS) do poznámek ke commitům, organizace přístupu k GraphQL API jménem oběti při otevření speciálně upravené stránky (CSRF) a únik obsahu soukromých repozitářů prostřednictvím vyhledávání v veřejných projektech.
Zdroj: opennet.ru
