Correctieve updates voor het samenwerkingsplatform zijn gepubliceerd - GitLab 16.8.1, 16.7.4, 16.6.6 en 16.5.8, waarin 5 kwetsbaarheden zijn verholpen. Een van de problemen (CVE-2024-0402), die is opgetreden sinds de release van GitLab 16.0, heeft een kritieke gevaarsniveau gekregen. Deze kwetsbaarheid stelt een geauthenticeerde gebruiker in staat om bestanden naar elke map op de server te schrijven, afhankelijk van de toegangsrechten van de webinterface van GitLab.
De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van de functie voor het maken van werkruimten (workspace). De fout doet zich voor bij het parseren van de devfile-parameters die in een onjuist YAML-formaat zijn gedefinieerd (in de patch is het probleem opgelost door YAML om te zetten naar JSON en door de aanwezigheid van structuren te controleren die geldig zijn in YAML maar ongeldig in JSON vanwege het gebruik van bepaalde Unicode-symbolen). Gedetailleerde informatie over de kwetsbaarheid zal worden vrijgegeven 30 dagen na de publicatie van de oplossing. De kwetsbaarheid is ontdekt tijdens een interne controle door een werknemer van GitLab.
Bron: opennet.ru
