GitLab, isteğe bağlı dallarda Sürekli Entegrasyon ve Sürekli Teslimat (CI/CD) işlem hatlarının çalıştırılmasına izin verebilecek kritik bir hata da dahil olmak üzere sekiz güvenlik açığını gidermek için Community Edition (CE) ve Enterprise Edition (EE) için güvenlik güncellemeleri yayınladı.
CVE-2024-9164 olarak takip edilen güvenlik açığı, 10 üzerinden 9,6 CVSS puanına sahip.
GitLab, “GitLab EE’de, 12.5’ten 17.2.9’a, 17.3’ten başlayarak, 17.3.5’ten önce ve 17.4’ten 17.4.2’ye kadar tüm sürümleri etkileyen ve ardışık düzenlerin isteğe bağlı dallarda çalıştırılmasına izin veren bir sorun keşfedildi.” söz konusu bir danışma belgesinde.
Geriye kalan yedi sorundan dördü yüksek, ikisi orta ve biri de düşük önem derecesine sahip –
- CVE-2024-8970 (CVSS puanı: 8,2), bir saldırganın belirli koşullar altında başka bir kullanıcı olarak bir işlem hattını tetiklemesine olanak tanır
- CVE-2024-8977 (CVSS puanı: 8,2), Product Analytics Dashboard’un yapılandırıldığı ve etkinleştirildiği GitLab EE örneklerinde SSRF saldırılarına izin verir
- CVE-2024-9631 (CVSS puanı: 7,5), çakışma içeren birleştirme isteklerinin farklarını görüntülerken yavaşlamaya neden olur
- CVE-2024-6530 (CVSS puanı: 7,3), siteler arası komut dosyası oluşturma sorunu nedeniyle yeni bir uygulamayı yetkilendirirken OAuth sayfasına HTML enjeksiyonuyla sonuçlanır
Bu tavsiye, GitLab tarafından son aylarda ifşa edilen, boru hattıyla ilgili sürekli bir güvenlik açığı akışı gibi görünen şeyin en son kırışıklığıdır.
Geçen ay şirket, bir saldırganın rastgele bir kullanıcı olarak ardışık düzen işlerini yürütmesine olanak verebilecek başka bir kritik kusuru (CVE-2024-6678, CVSS puanı: 9,9) ele aldı.
Bundan önce, CVE-2023-5009 (CVSS puanı: 9,6), CVE-2024-5655 (CVSS puanı: 9,6) ve CVE-2024-6385 (CVSS puanı: 9,6) olmak üzere üç benzer eksiklik daha düzeltildi.
Güvenlik açığından aktif olarak yararlanıldığına dair bir kanıt bulunmamakla birlikte, potansiyel tehditlere karşı korunmak için kullanıcıların örneklerini en son sürüme güncellemeleri önerilir.