Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je umožnené spustiť pipeline za určitých okolností ako ľubovoľný používateľ [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=8.14, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2
• GitLab Enterprise Edition; >=8.14, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-6678 na cve.org, NVD
• CWE-290: Authentication Bypass by Spoofing na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi je z dôvodu neúplného filtrovania vstupov umožnené injektovať príkazy do pripojeného servera Cube [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=16.11, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2.

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-8640 na cve.org, NVD
• CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené vykonávať požiadavky na interné zdroje pomocou upravenej URL adresy pre Maven Dependency Proxy [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=16.8, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

• CVE-2024-8635 na cve.org, NVD
• CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Neautentizovanému vzdialenému útočníkovi je prostredníctvom zaslania veľkého parametra 'glm_source' umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=16.4, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2
• GitLab Enterprise Edition; >=16.4, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-8124 na cve.org, NVD
• CWE-1333: Inefficient Regular Expression Complexity na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi s CI_JOB_TOKEN obete je umožnené získať GitLab session token patriaci obeti [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=13.7, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2
• GitLab Enterprise Edition; >=13.7, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L

Viac informácií:

• CVE-2024-8641 na cve.org, NVD
• CWE-270: Privilege Context Switching Error na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené obísť ochranu proti prepisovaniu premenných pomocou šablóny CI/CD [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Viac informácií:

• CVE-2024-8311 na cve.org, NVD
• CWE-424: Improper Protection of Alternate Path na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené čítať zdrojový kód súkromného projektu pomocou skupinových šablón [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=11.2; <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-4660 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.

Autentizovanému vzdialenému útočníkovi je prostredníctvom open redirect zraniteľnosti umožnené prevziať účet narušením toku OAuth [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=11.1, <17.1.7; >=17.2, <17.2.5; >=17.3, <17.3.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-4283 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 9. 2024.