GitLab CE a EE opravuje 2 zranitelnosti

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] GitLab CE a EE opravuje 2 zranitelnosti

GitLab verzemi 17.5.1, 17.4.3 a 17.3.6 opravuje 2 zranitelnosti v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1].

GitLab CE/EE - XSS (CVE-2024-8312)

CVSS 8.7 (High)

Autentizovanému vzdálenému útočníkovi je umožněno vykonat XSS útok [2].

Zranitelnost se nachází v produktu:

GitLab; >=15.10, <17.3.6; >=17.4, <17.4.3; >=17.5, <17.5.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

CVE-2024-8312 na cve.org, NVD
CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 10. 2024.

GitLab CE/EE - denial of service (CVE-2024-6826)

CVSS 6.5 (Medium)

Autentizovanému vzdálenému útočníkovi je skrze nahrání speciálně vytvořeného XML manifest souboru umožněno vykonat DoS útok [3].

Zranitelnost se nachází v produktu:

GitLab; >=11.2, <17.3.6; >=17.4, <17.4.3; >=17.5, <17.5.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H