GitLab a lansat actualizări de securitate pentru a aborda 14 vulnerabilități de securitate, inclusiv una critică care ar putea fi exploatată pentru a rula CI/CD pipelines ca orice utilizator. Actualizările afectează GitLab Community Edition (CE) și Enterprise Edition (EE).
TL;DR
Actualizați GitLab la versiunile 17.1.1, 17.0.3, și 16.11.5 pentru a remedia 14 vulnerabilități, inclusiv una critică (CVE-2024-5655) care permite rularea CI/CD pipelines ca alt utilizator.
Detalii Vulnerabilități și Actualizări
Vulnerabilitatea Critică (CVE-2024-5655)
Cea mai gravă dintre vulnerabilități este CVE-2024-5655 (scor CVSS: 9.6), care ar putea permite unui actor malițios să declanșeze un pipeline ca alt utilizator în anumite circumstanțe. Aceasta afectează următoarele versiuni de CE și EE:
- 17.1 înainte de 17.1.1
- 17.0 înainte de 17.0.3
- 15.8 înainte de 16.11.5
GitLab a menționat că remedierea introduce două modificări majore, ceea ce dezactivează GraphQL authentication folosind CI_JOB_TOKEN implicit și pipelines nu vor mai rula automat când un merge request este redirecționat după ce ramura țintă precedentă este contopită.
Alte Vulnerabilități Importante
Printre celelalte vulnerabilități importante remediate în cadrul ultimei actualizări se numără:
- CVE-2024-4901 (scor CVSS: 8.7): O vulnerabilitate de tip stored XSS care ar putea fi importată dintr-un proiect cu commit notes malițioase.
- CVE-2024-4994 (scor CVSS: 8.1): Un atac CSRF pe API-ul GraphQL al GitLab care duce la executarea de mutații arbitrare GraphQL.
- CVE-2024-6323 (scor CVSS: 7.5): O vulnerabilitate de autorizare în funcția de căutare globală care permite scurgerea de informații sensibile dintr-un repository privat într-un proiect public.
- CVE-2024-2177 (scor CVSS: 6.8): O vulnerabilitate de tip cross window forgery care permite unui atacator să abuzeze de fluxul de autentificare OAuth printr-un payload creat.
Recomandări
Deși nu există dovezi de exploatare activă a acestor vulnerabilități, utilizatorii sunt recomandați să aplice patch-urile pentru a se proteja împotriva potențialelor amenințări.
Sursa articolului:
https://thehackernews.com/2024/06/gitlab-releases-patch-for-critical-cicd.html
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
