GitLab je objavio kritična sigurnosna ažuriranja za svoje Community Edition (CE) i Enterprise Edition (EE), rješavajući nekoliko ranjivosti, uključujući i propust u skriptovanju na više lokacija (XSS).
Zakrpljene verzije, 17.8.1, 17.7.3 i 17.6.4, su sada dostupne, a GitLab snažno preporučuje da sve instalacije koje sami upravljaju odmah nadogradite.
Uklonjene ranjivosti
XSS ranjivost u prikazivanju datoteka
Najkritičniji problem koji se rješava je nepravilno prikazivanje određenih tipova datoteka koje uzrokuje pohranjenu XSS ranjivost (CVE-2025-0314). Ova mana utiče na sve verzije od 17.2 prije 17.6.4, 17.7 prije 17.7.3 i 17.8 prije 17.8.1.
Sa CVSS ocjenom 8,7, ova ranjivost omogućava napadačima da ubace maliciozne skripte u GitLab instance, što potencijalno dovodi do otmice sesije, krađe podataka ili neovlaštene kontrole sistema.
Osnovni uzrok leži u tome kako GitLab prikazuje određene tipove datoteka koristeći Asciidoctor, omogućavajući napadačima da ugrade maliciozne JavaScript korisne podatke u datoteke koje se izvršavaju unutar konteksta pretraživača žrtve nakon renderiranja. Ovo bi moglo ugroziti korisničke sesije ili otkriti osjetljive podatke.
Problem je odgovorno otkrio yvvdwf, istraživač sigurnosti kroz GitLab-ov HackerOne program za nagrađivanje grešaka.
Zaštićena CI/CD varijabilna eksfiltracija preko CI Lint (CVE-2024-11931)
Ova mana srednje ozbiljnosti (CVSS: 6.4) omogućila je programerima da eksfiltriraju osetljive CI/CD varijable pod određenim uslovima koristeći funkciju CI lint. Utiče na verzije počevši od 17.0 prije zakrpljenih izdanja, a otkrio ga je član GitLab tima Greg Myers.
Preporučene radnje
GitLab poziva sve korisnike da nadograde na najnovije zakrpljene verzije—17.8.1, 17.7.3 ili 17.6.4—kako bi ublažili ove ranjivosti.
Da biste smanjili rizike, redovno ažurirajte svoju GitLab instancu, nadgledajte evidencije za sumnjive aktivnosti, edukujte korisnike o prepoznavanju pokušaja krađe identiteta i brzoj primjeni ažuriranja i provodite periodične sigurnosne revizije .
Izvor: CyberSecurityNews
