Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 3 zranitelnosti
GitLab verzemi 17.11.2, 17.10.6 a 17.9.8 opravuje 3 zranitelnosti v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1].
Neautentizovaný vzdálený útočník může za určitých podmínek obejít ochranu Device OAuth a získat neoprávněný přístup k datům a funkcím určeným pro jiného uživatele.[1].
Zranitelnost se nachází v produktu:
- GitLab; >=17.3, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-0549 na cve.org, NVD
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 5. 2025.
Autentizovaný vzdálený útočník může provést DoS útok zasíláním speciálně vytvořených požadavků na import [1].
Zranitelnost se nachází v produktu:
- GitLab; >=17.1, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-8973 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 5. 2025.
Neautentizovaný vzdálený útočník může obejít restrikce IP adres a získat tak přístup k potenciálně citlivým informacím [1].
Zranitelnost se nachází v produktu:
- GitLab; >=12.0, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-1278 na cve.org, NVD
- CWE-1220: Insufficient Granularity of Access Control na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 5. 2025.
Za CESNET, z.s.p.o. Martin Krajči dne 12. 5. 2025.