Objavljena su ispravna ažuriranja platforme za organizaciju suradničkog razvoja — GitLab 16.8.1, 16.7.4, 16.6.6 i 16.5.8, u kojima su ispravljena 5 ranjivosti. Jednoj od problema (CVE-2024-0402), koja se pojavljuje od izdanja GitLab 16.0, dodijeljena je kritična razina opasnosti. Ova ranjivost omogućuje autentificiranom korisniku da zapisuje datoteke u bilo koji direktorij na poslužitelju, ovisno o pristupnim pravima pod kojima se izvršava web-sučelje GitLab.
Ranjivost je uzrokovana greškom u implementaciji funkcije stvaranja radnih prostora (workspace). Greška se manifestira pri razparavanju parametara devfile, koji su zadani u neispravnom formatu YAML (u zakrpi je problem rešen prevođenjem YAML-a u JSON i provjerom prisutnosti konstrukcija, ispravnih u YAML-u, ali nedopustivih u JSON-u zbog korištenja određenih Unicode simbola). Detaljne informacije o ranjivosti planiraju otkriti kroz 30 dana nakon objave ispravka. Ranjivost je utvrđena tijekom interne provjere od strane jednog zaposlenika tvrtke GitLab.
Izvor: opennet.ru
