Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab verziami 16.11.1, 16.10.4 a 16.9.6 opravuje 5 zraniteľností
GitLab Community Edition (CE) a Enterprise Edition (EE) verziami 16.11.1, 16.10.4 a 16.9.6 opravujú 5 zraniteľností [1].
Autentizovanému vzdialenému útočníkovi s prihlasovacími údajmi k účtu Bitbucket je umožnené prevziať účet GitLab prepojený s účtom Bitbucket iného používateľa, ak je Bitbucket na GitLabe používaný ako poskytovateľ OAuth 2.0 [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=7.8.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
- GitLab Enterprise Edition; >=7.8.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2024-4024 na cve.org, NVD
- CWE-287 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 4. 2024.
Autentizovanému vzdialenému útočníkovi je prostredníctvom prechádzania ciest umožnené obmedzené čítanie súborov a vykonanie DoS útoku [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=16.9.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
- GitLab Enterprise Edition; >=16.9.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:H
Viac informácií:
- CVE-2024-2434 na cve.org, NVD
- CWE-22 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 4. 2024.
Neautentizovanému vzdialenému útočníkovi je pomocou vytvoreného filtra zástupných znakov v nástroji FileFinder umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=12.5.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
- GitLab Enterprise Edition; >=12.5.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-2829 na cve.org, NVD
- CWE-400 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 4. 2024.
Autentizovanému vzdialenému útočníkovi je umožnené pristúpiť k dátam mimo obmedzenia prístupového tokenu [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=16.7.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
- GitLab Enterprise Edition; >=16.7.0, <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2024-4006 na cve.org, NVD
- CWE-863 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 4. 2024.
Autentizovanému vzdialenému útočníkovi je pomocou škodlivo vytvorenej e-mailovej adresy umožnené obísť obmedzenia inštancie alebo skupiny na základe domény [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
- GitLab Enterprise Edition; <16.9.6; >=16.10.0, <16.10.4; >=16.11.0, <16.11.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2024-1347 na cve.org, NVD
- CWE-287 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 4. 2024.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 30. 4. 2024.