Korrigeringsuppdateringar för plattformen för samarbetsutveckling har publicerats - GitLab 17.1.1, 17.0.3, 16.11.5, 16.10.8, 16.9.9, 16.8.8, 16.7.8 och 16.6.8, dÀr 14 sÀkerhetsbrister har ÄtgÀrdats. En av problemen (CVE-2024-5655), som uppstÄr frÄn och med GitLab 15.8, har tilldelats kritisk risknivÄ. SÀkerhetsbristen tillÄter körning av pipeline-jobb under en godtycklig anvÀndare. Att utföra sitt arbete i en annan anvÀndares kontext gör att den angripande kan fÄ tillgÄng till den interna anvÀndarens privata repository och stÀngda projekt.
Information om sÄrbarheten har skickats till GitLab inom ramen för det aktiva belöningsprogrammet pÄ HackerOne för upptÀckta sÄrbarheter. Detaljerad information om sÄrbarheten planeras att offentliggöras 30 dagar efter publicering av korrigeringen.
Det Àr vÀrt att notera att de presenterade GitLab-uppdateringarna ocksÄ ÄtgÀrdar tre sÄrbarheter som har tilldelats hög risknivÄ: injektion av JavaScript-kod (XSS) i commit-kommentarer, organisering av begÀrningar till GraphQL API i den drabbades namn nÀr en speciellt utformad sida öppnas (CSRF) samt lÀckage av innehÄllet i privata repository genom anvÀndning av sökning i offentliga projekt.
KĂ€lla: opennet.ru
