Er zijn correctieve updates gepubliceerd voor het samenwerkingsplatform GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 en 16.6.8, waarin 14 kwetsbaarheden zijn verholpen. Een van de problemen (CVE-2024-5655), dat naar voren komt vanaf de release van GitLab 15.8, is geclassificeerd als een kritieke beveiligingsrisico. Deze kwetsbaarheid stelt een aanvaller in staat om pipeline-jobs uit te voeren onder een willekeurige gebruiker. Het uitvoeren van zijn werk in de context van een andere gebruiker stelt de aanvaller in staat toegang te krijgen tot interne repositories en privƩprojecten van die gebruiker.
Vulnerability information has been submitted to GitLab as part of the ongoing bug bounty program on HackerOne. Detailed information about the vulnerability is planned to be disclosed 30 days after the release of the fix.
Daarnaast kunnen we in de gepubliceerde GitLab-updates drie kwetsbaarheden vermelden met een hoge beveiligingsclassificatie: de injectie van JavaScript-code (XSS) in commitberichten, het maken van een verzoek naar de GraphQL API namens het slachtoffer bij het openen van een speciaal samengestelde pagina (CSRF), en de lek van inhoud van privƩ repositories via het gebruik van zoekopdrachten in publieke projecten.
Bron: opennet.ru
