Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab CE/EE opravuje 10 zraniteľností
GitLab vo verziách 18.0.1, 17.11.3 a 17.10.7 opravuje 10 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich sú popísané nižšie, zvyšné zraniteľnosti nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je z dôvodu nechráneného endpointu pre veľké bloby umožnené spôsobiť DoS útok vyčerpaním serverových prostriedkov [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab; >=17.10.0, <17.10.7; >=17.11.0, <17.11.3; >=18.0.0, <18.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-0993 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 5. 2025.
Autentizovanému vzdialenému útočníkovi je za špecifických podmienok, z dôvodu nesprávnej validácie XPath výrazov pri spracovaní SAML odpovedí, umožnené obísť požiadavku na dvojfaktorové overenie [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab; >=11.1.0, <17.10.7; >=17.11.0, <17.11.3; >=18.0.0, <18.0.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2024-12093 na cve.org, NVD
- CWE-1288: Improper Validation of Consistency within Input na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 5. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočného ošetrenia integrácie s Discord webhookom umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab; >=11.6.0, <17.10.7; >=17.11.0, <17.11.3; >=18.0.0, <18.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-7803 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 5. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej validácie vstupov v integrácii s Kubernetes umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab; >=10.2.0, <17.10.7; >=17.11.0, <17.11.3; >=18.0.0, <18.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-3111 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 5. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej validácie pozície poznámok umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab; <17.10.7; >=17.11.0, <17.11.3; >=18.0.0, <18.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-2853 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 5. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 23. 5. 2025.