Gitlab hat mit dem Patch-Release mit Patch Release: 17.3.2, 17.2.5, 17.1.7 für die Community Edition (CE) und Enterprise Edition (EE) insgesamt 17 Sicherheitsprobleme beseitigt. Darunter auch eine kritische Sicherheitslücke.
Das schwerwiegende Problem betrifft laut dem Anbieter alle Versionen ab 8.14 vor 17.1.7, ab 17.2 vor 17.2.5 und ab 17.3 und vor 17.3.2. Es ermöglicht einem Angreifer, unter bestimmten Umständen eine Pipeline als beliebiger Benutzer auszuführen. Zur Durchführung des Angriffs sei zwar die Rolle des Maintainers/Eigentümers erforderlich. Der Angreifer könne die Attacke jedoch ausführen, indem er ein neues Projekt oder eine neue Gruppe erstellt und das Opfer dazu einlädt, heißt es in der Beschreibung der Lücke.
Weitere Probleme sind teilweise mit dem Risikopotenzial „hoch“ eingestuft. Darunter befindet sich etwa eine Lücke in der Enterprise Edition, über die sich wegen unvollständigen Eingabefilterung Befehle in einen angeschlossenen Cube-Server injizieren lassen (CVE-2024-8640, CVSS 8,5).
Nutzer sollten ihre Anwendungen auf den neuesten Stand bringen. In der Mitteilung von Gitlab sind weitere Informationen enthalten.
