GitLab verziami 16.10.2, 16.9.4 a 16.8.6 opravuje 4 zraniteľnosti

Pripadá Vám tento report dobre spracovaný? *

Áno

Nie

Používate túto technológiu? *

Áno

Nie

Bol pre Vás tento report užitočný?

Áno

Nie

Budeme radi, ak sa rozpíšete:

Bezpečnostné služby poskytované organizáciou CESNET sú navrhnuté ako významná podpora pri zaisťovaní kybernetickej bezpečnosti pripojených organizácií. Napriek tomu, že sa usilujeme o poskytovanie kvalitných a spoľahlivých služieb, nie je možné garantovať absolútne pokrytie všetkých bezpečnostných zraniteľností. Naše služby by mali byť vnímané ako doplnok k vlastnému bezpečnostnému riadeniu organizácií, nie ako jeho náhrada. Klient nesie konečnú zodpovednosť za zabezpečenie svojho prostredia.

Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab verziami 16.10.2, 16.9.4 a 16.8.6 opravuje 4 zraniteľnosti

GitLab Community Edition (CE) a Enterprise Edition (EE) verziami 16.10.2, 16.9.4 a 16.8.6 opravuje 4 zraniteľnosti [1].

GitLab - XSS (CVE-2024-3092)

CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je umožnené vytvoriť payload, ktorý môže viesť k XSS útoku pri použití nástroja na zobrazenie rozdielov v kóde [1].

Zraniteľnosť sa nachádza v produkte:

GitLab; >=16.9.0, <16.9.4; >=16.10.0, <16.10.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

CVE-2024-3092 na cve.org, NVD
CWE-79 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

GitLab - XSS (CVE-2024-2279)

CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je umožnené využiť funkciu automatického dopĺňania odkazov na vytvorenie škodlivého payloadu, čo môže viesť k XSS útoku [1].

Zraniteľnosť sa nachádza v produkte:

GitLab; >=16.7.0, <16.8.6; >=16.9.0, <16.9.4; >=16.10.0, <16.10.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

CVE-2024-2279 na cve.org, NVD
CWE-79 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

GitLab - DoS (CVE-2023-6489)

CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je umožnené zvýšiť využitie prostriedkov inštancie GitLab pomocou funkcie integrácie chatu, čo vedie k odopretiu služby [1].

Zraniteľnosť sa nachádza v produkte:

GitLab; >=16.7.7, <16.8.6; >=16.9.0, <16.9.4; >=16.10.0, <16.10.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Viac informácií:

CVE-2023-6489 na cve.org, NVD
CWE-400 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

GitLab - DoS (CVE-2023-6678)

CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je pomocou škodlivo vytvoreného obsahu v súbore s junit testovacím protokolom umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produkte:

GitLab; <16.8.6; >=16.9.0, <16.9.4; >=16.10.0, <16.10.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Viac informácií:

CVE-2023-6678 na cve.org, NVD
CWE-400 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

Odkazy

[1] https://about.gitlab.com/releases/2024/04/10/patch-release-gitlab-16-10-2-released/

Za CESNET, z.s.p.o. Michaela Jarošová dňa 12. 4. 2024.

Spätná väzba k reportu

[TLP:CLEAR] GitLab verziami 16.10.2, 16.9.4 a 16.8.6 opravuje 4 zraniteľnosti

GitLab - XSS (CVE-2024-3092)

CVSS 8.7 (High)

GitLab - XSS (CVE-2024-2279)

CVSS 8.7 (High)

GitLab - DoS (CVE-2023-6489)

CVSS 4.3 (Medium)

GitLab - DoS (CVE-2023-6678)

CVSS 4.3 (Medium)

Odkazy