GitLab je izdao sigurnosno upozorenje o višestrukim visokorizičnim ranjivostima na svojoj DevOps platformi, uključujući dvije kritične greške u skriptovanju među stranicama (XSS) koje omogućavaju napadačima da zaobiđu sigurnosne kontrole i izvrše maliciozne skripte u korisničkim pretraživačima.
Ranjivosti – praćene kao CVE-2025-0475 (CVSS 8.7) i CVE-2025-0555 (CVSS 7.7) – utiču na instance kojima se samostalno upravlja u više verzija, sa scenarijima eksploatacije koji omogućavaju otmicu sesije, krađu akreditiva i neovlašteni pristup sistemu.
Kritična ranjivost Kubernetes proxy-ja (CVE-2025-0475)
Ozbiljna XSS mana u GitLab-ovoj Kubernetes proxy krajnjoj tački utiče na sve verzije od 15.10 do 17.9.0.
Napadači koji iskorištavaju ovu ranjivost mogu ubaciti maliciozni JavaScript korisni teret kroz neodgovarajuće sanirane proxy odgovore, što dovodi do DOM-baziranih XSS napada.
„Proxy funkcija bi potencijalno mogla dozvoliti nenamjerno prikazivanje sadržaja koji vodi do XSS-a pod određenim okolnostima,” piše u savjetu GitLaba .
Vektor napada (AV:N/AC:L/PR:L) zahtijeva pristup mreži i niske privilegije napadača, ali omogućava potpuni kompromis korisničkih sesija kroz kreirane HTTP odgovore. Uspješno iskorištavanje omogućava napadačima da:
- Ukradu kolačiće sesije putem eksfiltracije document.cookie
- Izmijene konfiguracije CI/CD cjevovoda koristeći XMLHttpRequest
- Postave maliciozne kontejnere putem Kubernetes API interakcija
Maven Dependency Proxy XSS Bypass (CVE-2025-0555)
Zasebna XSS ranjivost u Maven Dependency Proxy-u utiče na GitLab-EE verzije od 16.6 do 17.9.0.
Ova mana omogućava napadačima da zaobiđu ograničenja Politike sigurnosti sadržaja (CSP) koristeći posebno kreirane datoteke metapodataka ovisnosti koje sadrže JavaScript korisne podatke. Ranjivost koristi nepravilnu validaciju unosa u Maven obradi artefakata.
GitLab potvrđuje da ovo omogućava „zaobići sigurnosne kontrole i izvršavanje proizvoljnih skripti u korisnikovom pretraživaču pod određenim uslovima.“
Ranjivosti srednje ozbiljnosti
Tri ranjivosti srednje ozbiljnosti otežavaju pejzaž rizika:
- CVE-2024-8186: HTML injekcija putem pretraživanja podređenih stavki (CVSS 5.4) omogućava ograničeni XSS u instancama koje hostuju sami.
- CVE-2024-10925: Pristup gostujućih korisnika YAML datotekama sigurnosne politike (CVSS 5.3) otkrivajući pravila usklađenosti.
- CVE-2025-0307: Uloga planera pristupa analitici pregleda koda (CVSS 4.3) koja otkriva osjetljive metrike.
GitLabov program nagrađivanja grešaka pripisao je zasluge istraživačima joaxcaru, yuki_osakiju i weasterhackeru za otkrivanje ovih ranjivosti, naglašavajući oslanjanje platforme na sigurnost koju pokreće zajednica.
GitLab je objavio zakrpljene verzije 17.9.1, 17.8.4 i 17.7.6. Sigurnosni analitičari upozoravaju da nezakrpljene GitLab instance ostaju glavne mete za APT grupe, a XSS ranjivosti se sve više koriste u napadima na lanac nabavke softvera.
Sve organizacije koje koriste zahvaćene GitLab verzije trebale bi ovo tretirati kao kritično ažuriranje infrastrukture. Odgađanje zakrpe duže od 48 sati značajno povećava rizik od kompromisa, s obzirom na objavljene detalje o eksploataciji i postojeći kod za potvrdu koncepta na podzemlju forumima.
Izvor: CyberSecurityNews
