Megjelentek a GitLab 16.8.1, 16.7.4, 16.6.6 és 16.5.8 verziók javítófrissítései, amelyek között 5 sebezhetőséget küszöböltek ki. Az egyik probléma (CVE-2024-0402), amely a GitLab 16.0 kiadásától jelentkezik, kritikus szintű veszélyforrást kapott. Ez a sebezhetőség lehetővé teszi egy hitelesített felhasználó számára, hogy fájlokat írjon bármelyik mappába a szerveren, a GitLab webfelületének végrehajtási jogai által lehetővé tett felhasználói jogok szerint.
A sebezhetőség egy hibából adódik, amely a munkaterület (workspace) létrehozásának megvalósításában jelentkezik. A hiba akkor jelentkezik, amikor a devfile paramétereit hibás YAML formátumban elemzik (a patchben a problémát a YAML JSON-ra való átalakításával és a YAML-ban érvényes, de a JSON-ban érvénytelen konstrukciók ellenőrzésével oldják meg, mivel bizonyos Unicode karakterek használata miatt). A sebezhetőségről részletes információt terveznek nyújtani 30 nappal a javítás közzététele után. A sebezhetőséget a GitLab egyik alkalmazottjának belső felülvizsgálata során fedezték fel.
Forrás: opennet.ru
