Korrekturupdates fĂŒr die Plattform zur Zusammenarbeit - GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 und 16.6.8 veröffentlicht, in denen 14 SicherheitsanfĂ€lligkeiten behoben wurden. Einem der Probleme (CVE-2024-5655), das seit der Veröffentlichung von GitLab 15.8 auftritt, wurde ein kritisches Gefahrenniveau zugewiesen. Die SicherheitsanfĂ€lligkeit ermöglicht es, Arbeiten im kontinuierlichen Integrations-Pipeline unter einem beliebigen Benutzer auszufĂŒhren. Das AusfĂŒhren von Aktionen im Kontext eines anderen Benutzers ermöglicht es dem Angreifer, auf interne Repositories und geschlossene Projekte dieses Benutzers zuzugreifen.
Informationen zur SicherheitsanfĂ€lligkeit wurden im Rahmen des bei HackerOne laufenden Programms zur PrĂ€mienvergabe fĂŒr das Auffinden von SicherheitsanfĂ€lligkeiten an GitLab ĂŒbermittelt. Detaillierte Informationen zur SicherheitsanfĂ€lligkeit sollen 30 Tage nach der Veröffentlichung des Patches veröffentlicht werden.
ZusĂ€tzlich ist zu erwĂ€hnen, dass in den veröffentlichten Updates von GitLab drei SicherheitsanfĂ€lligkeiten mit hohem Gefahrenniveau behoben wurden: eine JavaScript-Inject-Attacke (XSS) in den Commit-Kommentaren, die AusfĂŒhrung von GraphQL-API-Anfragen im Namen des Opfers beim Ăffnen einer speziell gestalteten Seite (CSRF) und die Offenlegung von Inhalten privater Repositories durch die Nutzung der Suche in öffentlichen Projekten.
Quelle: opennet.ru
