GitLab - Kritische Sicherheitslücken wurden gepatcht

GitLab hat am 27.6.24 die Versionen 17.1.1, 17.0.3 und 16.11.5 für die Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Diese Updates enthalten wichtige Fehler- und Sicherheitskorrekturen. Es wird dringend empfohlen, alle GitLab-Installationen sofort auf eine dieser Versionen zu aktualisieren. GitLab.com nutzt bereits die gepatchte Version.

Der Patch beinhaltet folgende Fixes.

  1. Run pipelines as any user: Kritische Sicherheitslücke (CVE-2024-5655) behoben, die es einem Angreifer ermöglichte, Pipelines als anderer Benutzer auszuführen.
  2. Stored XSS: Hohe Sicherheitslücke (CVE-2024-4901) in Commit-Notizen behoben.
  3. CSRF auf GraphQL API: Hohe Sicherheitslücke (CVE-2024-4994) behoben.
  4. Unauthorized repo search results: Hohe Sicherheitslücke (CVE-2024-6323) behoben.

Alle Benutzer sollten ihre Installationen umgehend auf die neuesten Versionen aktualisieren, um die Sicherheit ihrer Systeme zu gewährleisten. Weitere Informationen finden Sie im GitLab Blog.

Tags :

Related Posts

Datenleck: Chinesischer Balkonkraftwerkhersteller Deye weist Verantwortung von sich

Auf dem Blog von Günther Born wird berichtet, dass Balkonkfraftwerkbesitzer über die Deye-Cloud auf Solardaten einer fremden Person zugreifen konnte. Die Wechselrichter von Deye, die in vielen Balkonkraftwerken und Solaranlagen in Deutschland eingesetzt werden, sind über das Internet verbunden und speisen Daten in eine Cloud in China. Dies wirft nicht nur erhebliche Datenschutzprobleme auf, da fremde Anlagendaten samt persönlicher Informationen sichtbar wurden, sondern ist über dies noch schlecht programmiert, so dass man Anlagendaten fremder Besitzer angezeigt bekommt. Deye bestritt laut Born das Problem, und verweist darauf, dass die Nutzer die fremden Anlagen selbst angelegt haben sollen.

Read More

Remote Code Execution in Windows Bluetooth Service möglich

Am 14. März 2023 veröffentlichte Microsoft eine kritische Remote Code Execution Sicherheitslücke im Windows Bluetooth Service. Die Schwachstelle CVE-2023-24871 betrifft die Verarbeitung von Bluetooth Low Energy (BLE) Werbedaten im Windows Bluetooth-Stack. Angreifer können durch Manipulation der Werbedaten einen Intteger-Overflow auslösen, wodurch Daten außerhalb der vorgesehenen Puffergrenzen geschrieben werden. Dies ermöglicht es Angreifern, beliebigen Code auszuführen. Betroffen sind: Der Windows Bluetooth-Stack, einschließlich bthport.sys, Microsoft.Bluetooth.Service.dll, Windows.Internal.Service.dll und dafBth.dll.

Read More

Datenleck bei DPD Muttergesellschaft Geopost

Geopost, die Muttergesellschaft von DPD Deutschland, meldete am 19.6.2024 einen IT-Sicherheitsvorfall, bei dem unautorisierte Zugriffe auf eine von der spanischen Tochtergesellschaft betriebene Datenbank festgestellt wurden.

Read More