Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] GitLab CE a EE opravuje 6 zranitelností

GitLab verzemi 17.2.1, 17.1.3 a 17.0.5 opravuje 6 zranitelností v produktech GitLab Community Edition (CE) and Enterprise Edition (EE) [1].

GitLab CE/EE - XSS
CVSS 7.7 (High)

Autentizovanému vzdálenému útočníkovi je umožněno provést XSS útok [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=16.6, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 7. 2024.

GitLab CE/EE - settings leak (CVE-2024-5067)
CVSS 4.4 (Medium)

Autentizovanému vzdálenému útočníkovi s právy vývojáře je umožněno přistupovat k informacím týkajícím se některých nastavení [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=16.11, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 24. 7. 2024.

GitLab CE/EE - job artifacts leak (CVE-2024-7057)
CVSS 4.3 (Medium)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat k výstupům úloh (jobs artifacts) [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=16.7, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 24. 7. 2024.

GitLab CE/EE - information leak
CVSS 4.1 (Medium)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat k omezenému množství informací [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=12:0, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N

Více informací:

  • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 7. 2024.

GitLab CE/EE - commits misdirect (CVE-2024-0231)
CVSS 2.7 (Low)

Autentizovanému vzdálenému útočníkovi je umožněno ovlivnit zápis commitů [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=12.0, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Více informací:

Zranitelnost byla veřejně oznámena 24. 7. 2024.

GitLab CE/EE - information leak
CVSS 2.6 (Low)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat k informacím [1].

Zranitelnost se nachází v produktu:

  • GitLab; >=15.4, <17.0.5; >=17.1, <17.1.3; >=17.2, <17.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N

Více informací:

  • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 7. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 25. 7. 2024.

CESNET, z.s.p.o. Logo