GitLabs Patch Release 17.9.1, 17.8.4, 17.7.6 fixen XSS Schwachstellen

GitLab hat am 26.02.25 neue Patch-Releases für die Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Mit den Versionen 17.9.1, 17.8.4 und 17.7.6 behebt GitLab mehrere kritische Sicherheitslücken und diverse Bugs, die in zahlreichen Installationen entdeckt wurden.

Die aktuellen Patches adressieren unter anderem die folgenden Sicherheitsprobleme:

  • XSS in k8s Proxy Endpoint (CVE-2025-0475)
    Schweregrad: Hoch
    Eine Schwachstelle in einem Kubernetes-Proxy-Feature ermöglichte es, unter bestimmten Umständen unerwünschte Inhalte darzustellen. Die Korrektur dieser Lücke ist essenziell, um Cross-Site Scripting (XSS) Angriffe zu verhindern.
  • XSS Maven Dependency Proxy (CVE-2025-0555)
    Schweregrad: Hoch
    Diese Lücke in der Maven Dependency Proxy-Funktion könnte es Angreifern ermöglichen, Sicherheitsmechanismen zu umgehen und schädliche Skripte im Browser eines Benutzers auszuführen.
  • HTML Injection führt zu XSS auf Self-Hosted-Instanzen (CVE-2024-8186)
    Schweregrad: Mittel
    Durch eine fehlerhafte Handhabung von HTML-Inhalten in der Kind-Itemsuche konnte unter bestimmten Umständen XSS ausgelöst werden. Die Korrektur stellt sicher, dass HTML korrekt gefiltert wird.
  • Unzureichende Autorisierungsprüfung: Gastbenutzer können Sicherheitsrichtlinien einsehen (CVE-2024-10925)
    Schweregrad: Mittel
    Ein Gastbenutzer konnte fälschlicherweise auf sensible Sicherheitskonfigurationen zugreifen. Dieser Fix schließt die Lücke und verbessert die Zugriffskontrolle.
  • Planner-Rolle kann Code Review Analytics in privaten Projekten einsehen (CVE-2025-0307)
    Schweregrad: Mittel
    Eine unzulässige Berechtigungsvergabe ermöglichte es Nutzern mit eingeschränkten Rechten, Zugriff auf vertrauliche Projektanalysen zu erhalten. Auch diese Schwachstelle wurde in den aktuellen Versionen behoben.

Alle Administratoren von selbstverwalteten GitLab-Instanzen sollten dringend auf die neueste Version aktualisieren, um die genannten Sicherheitslücken zu schließen.

Tags :

Related Posts

CVE-2025-1094: Kritische SQL-Injection-Schwachstelle in PostgreSQL psql behoben

Rapid7 entdeckte eine SQL-Injection-Schwachstelle in dem PostgreSQL-Tool psql. Die Sicherheitslücke, CVE-2025-1094, macht es möglich, trotz Verwendung der integrierten String-Escaping-Routinen durch die Verarbeitung ungültiger UTF-8-Zeichen SQL-Injection-Angriffe durchzuführen. Angreifer können so über Meta-Commands im psql-Tool beliebige Betriebssystembefehle ausführen oder SQL-Anweisungen manipulieren, was letztlich zu einer Arbitrary Code Execution führen konnte.

Read More

Sicherheitslücken in OpenSSH entdeckt: MitM-Angriff und DoS-Angriffe möglich

Ein Sicherheitsbericht von Qualys vom 18.02.2025 hat zwei schwerwiegende Schwachstellen in OpenSSH ans Licht gebracht, die das Risiko von Man-in-the-Middle-Angriffen (MitM) sowie Denial-of-Service (DoS) Attacken erhöhen.

Read More

Privilege Escalation in NetScaler Console und Agent (CVE-2024-12284)

Citrix hat in einem aktuellen Sicherheitsbulletin auf eine kritische Schwachstelle in der NetScaler Console (ehemals NetScaler ADM) sowie im NetScaler Agent hingewiesen. Die betroffenen Versionen sind:

Read More