GitLab наскоро адресира високорискова уязвимост, регистрирана като CVE-2024-4835, която представлява значителен риск за потребителските акаунти чрез атаки тип cross-site scripting (XSS). Уязвимостта, открита във VS код редактора (Web IDE) на GitLab, и позволява на злонамерени лица да откраднат чувствителна информация и потенциално да превземат потребителски акаунти чрез зловредни страници. Въпреки че атаката не изисква автентикация, тя изисква взаимодействие от страна на потребителя, което малко усложнява експлоатацията.
Уязвимостта засяга версиите на GitLab 15.11 преди 16.10.6, 16.11 преди 16.11.3 и 17.0 преди 17.0.1. Успешната експлоатация на тази XSS уязвимост може да доведе до неоторизиран достъп до потребителски акаунти, което може да доведе до по-нататъшни зловредни дейности, като например внедряване на зловреден код в CI/CD пайплайна. Тези действия могат да имат сериозни последствия, включително атаки от тип „Supply Chain Attack“, които компрометират цели хранилища и могат да засегнат голям брой потребители.
GitLab пусна актуализирани версии—17.0.1, 16.11.3 и 16.10.6 за Community Edition (CE) и Enterprise Edition (EE)—за да отстрани тази уязвимост. Потребителите настоятелно се призовават незабавно да актуализират своите инсталации до тези версии, за да защитят своите системи от потенциални проблеми.
Заедно с CVE-2024-4835, последната актуализация на GitLab поправя и още шест уязвимости със не толкова висок риск, включително:
1. CVE-2023-7045: Cross-Site Request Forgery (CSRF) чрез Kubernetes Agent Server.
2. CVE-2024-2874: Уязвимост от тип отказ от услуга (DoS) в полето за описание на runner.
3. ReDoS в wiki render API/Page.
4. Изчерпване на ресурси чрез test_report API повиквания.
5. Заобикаляне на авторизация в API-то „Set Pipeline Status of a Commit“.
6. Неоторизиран достъп до списъци със зависимости на частни проекти чрез job артефакти.
Екипът на FredomOnline призовава всички потребители на GitLab койтo все още не са актуализирали своите версии да го направят в най-кратъв срок поради високорисковия характер на тези уязвимости.
-
-
-
-
-
