Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab verziami 17.1.2, 17.0.4 a 16.11.6 opravuje 6 zraniteľností, z toho 1 kritickú

GitLab verziami 17.1.2, 17.0.4 a 16.11.6 opravuje 6 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE).

GitLab - (CVE-2024-6385)
CVSS 9.6 (Critical)

Autentizovanému vzdialenému útočníkovi je za určitých okolností umožnené spustiť pipeline ako iný používateľ [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=15.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GiLab Enterprise Edition; >=15.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

GitLab - (CVE-2024-5257)
CVSS 4.9 (Medium)

Autentizovanému vzdialenému útočníkovi s oprávnením admin_compliance_framework je umožnené upraviť adresu URL pre priestor názvov skupiny [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GiLab Enterprise Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

GitLab - (CVE-2024-5470)
CVSS 3.8 (Low)

Autentizovanému vzdialenému útočníkovi s oprávnením admin_push_rules je umožnené vytvárať deploy tokeny na úrovni projektu [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GitLab Enterprise Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

GitLab - (CVE-2024-6595)
CVSS 3.0 (Low)

Autentizovanému vzdialenému útočníkovi je umožnené nahrať NPM balíček s "konfliktnými" údajmi [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=11.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GitLab Enterprise Edition; >=11.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

GitLab - (CVE-2024-2880)
CVSS 2.7 (Low)

Autentizovanému vzdialenému útočníkovi s oprávnením admin_group_member je umožnené zablokovať členov skupiny [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=16.5.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GitLab Enterprise Edition; >=16.5.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

GitLab - (CVE-2024-5528)
CVSS 3.5 (Low)

Autentizovanému vzdialenému útočníkovi je umožnené prevziať subdoménu v aplikácii GitLab Pages [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
  • GitLab Enterprise Edition; <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 7. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 16. 7. 2024.

CESNET, z.s.p.o. Logo