Sicherheitsupdate für GitLab patcht XSS und Privilege Escalation

Table of Contents

7. August 2024 – GitLab hat die neuen Patch-Versionen 17.2.2, 17.1.4 und 17.0.6 für die Community Edition (CE) und die Enterprise Edition (EE) veröffentlicht. Diese Updates enthalten wichtige Fehler- und Sicherheitskorrekturen. Es wird dringend empfohlen, alle GitLab-Installationen sofort zu aktualisieren.

Behobene Sicherheitslücken

  1. Privilege Escalation via LFS Tokens (CVE-2024-3035): Mittlere Schwere, betroffene Versionen ab 8.12.
  2. Cross Project Access of Security Policy Bot (CVE-2024-6356): Mittlere Schwere, betroffene Versionen ab 16.0.
  3. Advanced Search ReDOS in Highlight for Code Results: Mittlere Schwere, betroffene Versionen ab 15.9.
  4. Denial of Service via Banzai Pipeline (CVE-2024-5423): Mittlere Schwere, betroffene Versionen ab 1.0.
  5. Denial of Service using Adoc Files (CVE-2024-4210): Mittlere Schwere, betroffene Versionen ab 12.6.
  6. ReDoS in RefMatcher when Matching Branch Names (CVE-2024-2800): Mittlere Schwere, betroffene Versionen ab 11.3.
  7. Path Encoding Issue (CVE-2024-6329): Mittlere Schwere, betroffene Versionen ab 8.16.
  8. XSS in XHTML Files via API (CVE-2024-4207): Mittlere Schwere, betroffene Versionen ab 5.1.
  9. Ambiguous Tag Name Exploitation (CVE-2024-3958): Mittlere Schwere, alle Versionen betroffen.
  10. Sensitive Data in Query Params Logging: Mittlere Schwere, betroffene Versionen ab 13.9.
  11. Password Bypass on Approvals (CVE-2024-4784): Mittlere Schwere, betroffene Versionen ab 16.7.
  12. ReDoS when Parsing Git Push (CVE-2024-3114): Mittlere Schwere, betroffene Versionen ab 11.10.
  13. Webhook Deletion Audit Log (CVE-2024-7586): Mittlere Schwere, betroffene Versionen ab 17.0.

Die vollständigen Release-Notizen und Anweisungen zur Aktualisierung sind auf der offiziellen GitLab-Website verfügbar.

Es wird dringend empfohlen, alle betroffenen Installationen umgehend auf die neueste Version zu aktualisieren, um die beschriebenen Sicherheitsprobleme zu beheben. Weitere Informationen und Best Practices zur Sicherung von GitLab-Instanzen finden Sie im Blogpost von GitLab.

Besuchen Sie für detaillierte Informationen und zum Herunterladen der neuesten Versionen die GitLab Release Seite.

Tags :

Related Posts

VMware ESXi: Schwachstelle erlaubt vollen ESXi Host Zugriff

VMware hat Updates für VMware ESXi und vCenter Server veröffentlicht, um mehrere Sicherheitslücken zu beheben (CVE-2024-37085, CVE-2024-37086, CVE-2024-37087). Diese Schwachstellen wurden am 25. Juni 2024 erstmals gemeldet und betreffen die Produkte VMware Cloud Foundation, VMware ESXi und VMware vCenter Server. Eine Privilege Escalation Schwachstelle ist dabei besonders prekär, denn Sie erlaubt unter Umständen Vollzugriff auf das Host System.

Read More

Specula verwandelt Outlook in ein C2-Tool

TrustedSec hat Specula veröffentlicht, ein Framework, das über eine Schwachstestelle von 2017 die Outlook-E-Mail-Client-Homepage-Funktion ausnutzt, um es in ein Beaconing C2-Agent umzuwandeln. Diese Technik erfordert nur eine einzige nicht-privilegierte Registry-Änderung, wodurch Angreifer persistenten Zugriff auf Netzwerke erhalten können, ohne dass dies oft bemerkt wird.

Read More

Cyberkriminelle nutzen offene Selenium Grid-Dienste für Kryptomining

Wiz Research hat eine laufende Bedrohungskampagne entdeckt, die als “SeleniumGreed” bekannt ist. Dabei nutzen Angreifer falsch konfigurierte Selenium Grid-Dienste, um Kryptomining-Skripte auszuführen. Selenium, ein weit verbreitetes Test-Framework, ist oft in Cloud-Umgebungen zu finden, aber viele Instanzen sind öffentlich zugänglich und ohne Authentifizierung, was sie anfällig für Missbrauch macht.

Read More