Kritisches Sicherheits-Release für GitLab
Table of Contents
Am 10.7.24 hat GitLab die Versionen 17.1.2, 17.0.4 und 16.11.6 für die Community Edition (CE) und die Enterprise Edition (EE) veröffentlicht. Diese Versionen enthalten wichtige Fehler- und Sicherheitskorrekturen. Es wird dringend empfohlen, dass alle GitLab-Installationen sofort auf eine dieser Versionen aktualisiert werden. GitLab.com und GitLab Dedicated laufen bereits mit der gepatchten Version.
GitLab veröffentlicht Patches für Schwachstellen in dedizierten Patch-Releases. Es gibt zwei Arten von Patch-Releases: geplante Releases und ad-hoc kritische Patches für hochgradige Schwachstellen. Geplante Releases erscheinen zweimal im Monat am zweiten und vierten Mittwoch. Weitere Informationen finden Sie im Release-Handbuch und in den Sicherheits-FAQ.
Es wird dringend empfohlen, alle Installationen, die von den unten beschriebenen Problemen betroffen sind, so schnell wie möglich zu aktualisieren. Wenn keine spezifische Bereitstellungsart (Omnibus, Quellcode, Helm-Chart usw.) erwähnt wird, bedeutet dies, dass alle Arten betroffen sind.
| Schwachstelle | Schweregrad |
|---|---|
| Angreifer kann Pipeline-Jobs als beliebiger Benutzer ausführen | Kritisch |
| Entwickler mit admin_compliance_framework-Berechtigung kann Gruppen-URL ändern | Mittel |
| Admin-Push-Regeln benutzerdefinierte Rolle erlaubt Erstellung von projektweiten Deploy-Token | Niedrig |
| Paketregister anfällig für Manifestverwirrung | Niedrig |
| Benutzer mit admin_group_member-Berechtigung kann Gruppenmitglieder sperren | Niedrig |
| Subdomain-Übernahme in GitLab Pages | Niedrig |
Gepatchte Schwachstellen
Angreifer kann Pipeline-Jobs als beliebiger Benutzer ausführen
Eine Schwachstelle wurde in GitLab CE/EE entdeckt, die Versionen 15.8 bis vor 16.11.6, 17.0 bis vor 17.0.4 und 17.1 bis vor 17.1.2 betrifft. Diese Schwachstelle ermöglicht es einem Angreifer unter bestimmten Umständen, eine Pipeline als anderer Benutzer auszulösen. Diese kritische Schwachstelle (CVSS: 9.6) wurde in der neuesten Version behoben und hat die CVE-Nummer CVE-2024-6385 erhalten.
Entwickler mit admin_compliance_framework-Berechtigung kann Gruppen-URL ändern
Eine Schwachstelle in GitLab CE/EE betrifft alle Versionen ab 17.0 bis vor 17.0.4 und ab 17.1 bis vor 17.1.2, bei der ein Entwickler mit der Berechtigung admin_compliance_framework möglicherweise die URL für einen Gruppen-Namespace ändern konnte. Diese mittlere Schwachstelle (CVSS: 4.9) wurde behoben und hat die CVE-Nummer CVE-2024-5257 erhalten.
Admin-Push-Regeln benutzerdefinierte Rolle erlaubt Erstellung von projektweiten Deploy-Token
Eine Schwachstelle in GitLab CE/EE betrifft alle Versionen ab 17.0 bis vor 17.0.4 und ab 17.1 bis vor 17.1.2, bei der ein Gastbenutzer mit der Berechtigung admin_push_rules möglicherweise projektweite Deploy-Token erstellen konnte. Diese geringe Schwachstelle (CVSS: 3.8) wurde behoben und hat die CVE-Nummer CVE-2024-5470 erhalten.
Paketregister anfällig für Manifestverwirrung
Eine Schwachstelle in GitLab CE/EE betrifft alle Versionen ab 11.8 bis vor 16.11.6, ab 17.0 bis vor 17.0.4 und ab 17.1 bis vor 17.1.2, bei der es möglich war, ein NPM-Paket mit widersprüchlichen Paketdaten hochzuladen. Diese geringe Schwachstelle (CVSS: 3.0) wurde behoben und hat die CVE-Nummer CVE-2024-6595 erhalten.
Benutzer mit admin_group_member-Berechtigung kann Gruppenmitglieder sperren
Eine Schwachstelle in GitLab CE/EE betrifft alle Versionen ab 16.5 bis vor 16.11.6, ab 17.0 bis vor 17.0.4 und ab 17.1 bis vor 17.1.2, bei der ein Benutzer mit der benutzerdefinierten Rolle admin_group_member Gruppenmitglieder sperren konnte. Diese geringe Schwachstelle (CVSS: 2.7) wurde behoben und hat die CVE-Nummer CVE-2024-2880 erhalten.
Subdomain-Übernahme in GitLab Pages
Eine Schwachstelle in GitLab CE/EE betrifft alle Versionen vor 16.11.6, ab 17.0 bis vor 17.0.4 und ab 17.1 bis vor 17.1.2, die eine Subdomain-Übernahme in GitLab Pages ermöglichte. Diese geringe Schwachstelle (CVSS: 3.5) wurde behoben und hat die CVE-Nummer CVE-2024-5528 erhalten.