Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva a špecificky vytvorenej URL adresy umožnené exfiltrovať dáta relácie obete a potenciálne prevziať jej účet [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=16.1, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=16.1, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2024-11274 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému vzdialenému útočníkovi je pomocou opakovaného zasielania požiadaviek na zobrazenie rozdielov medzi verziami súborov (diff-files) umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=9.4, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=9.4, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-8233 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému vzdialenému útočníkovi je po získaní tokenu CI_JOB_TOKEN obete pomocou sociálneho inžinierstva umožnené získať aj jej GitLab reláciu [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=13.7, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=13.7, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L

Viac informácií:

• CVE-2024-12570 na cve.org, NVD
• CWE-270: Privilege Context Switching Error na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva a špecificky vytvorenej URL adresy umožnené presmerovať obeť na potenciálne škodlivú stránku [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=11.8, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=11.8, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-9387 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené získať CSRF token obete. Zraniteľnosť je zneužiteľná iba v self-hosted systémoch s povolenou integráciou GitLab a Harbor [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=15.2, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=15.2, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-8647 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať XSS útok. Zraniteľnosť je zneužiteľná iba v systémoch s neaktívnou Content Security Policy (CSP) [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=17.3, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=17.3, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-8179 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.