Eine Schwachstelle in GitLab, die es ermöglicht, Code während des Build-Prozesses in CI jedes Projekts auszuführen.

Es wurden Korrekturupdates für die Plattform zur Organisation der Zusammenarbeit – GitLab 15.11.2, 15.10.6 und 15.9.7 veröffentlicht. Diese beseitigen eine kritische Sicherheitsanfälligkeit (CVE-2023-2478), die es jedem authentifizierten Benutzer ermöglicht, durch Manipulation mit der GraphQL-API einen eigenen Runner-Handler (eine Anwendung zum Ausführen von Aufgaben beim Bauen des Projektcodes im kontinuierlichen Integrationssystem) an jedes Projekt auf demselben Server anzuhängen. Details zur Ausnutzung werden derzeit nicht bereitgestellt. Informationen über die Sicherheitsanfälligkeit wurden im Rahmen des laufenden Programms zur Belohnung von Sicherheitsforschern auf HackerOne an GitLab übermittelt.

Quelle: opennet.ru