Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je umožnené pomocou LFS tokenov čítať a zapisovať do repozitárov ostatných používateľov [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=8.12, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-3035 na cve.org, NVD
• CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené pristupovať k cudzím projektom pomocou bota pre bezpečnostné politiky [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=16.0, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-6356 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok pomocou nástroja "banzai pipeline" [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=1.0, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-5423 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok pomocou špeciálne vytvorených súborov typu ADOC [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=12.6, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-4210 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať ReDoS útok [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=11.3, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-2800. na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Neautentizovanému vzdialenému útočníkovi je umožnené vydávať repozitár s potenciálne škodlivým kódom za legitimný repozitár [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2024-3958 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené pristupovať k citlivým údajom z logových súborov [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=17.0, <17.0.6; >=17.1, <17.1.4; >=17.2, <17.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:N/A:N

Viac informácií:

• CVE-2024-7586 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 8. 2024.