GitLab behebt hochgradige Sicherheitsanfälligkeit für Kontenübernahme

GitLab, die beliebte Online-DevOps-Plattform, hat dringende Sicherheitsupdates für sowohl die Community Edition (CE) als auch die Enterprise Edition (EE) veröffentlicht, um mehrere kritische Sicherheitsanfälligkeiten zu beheben, einschließlich der Übernahme von Konten durch nicht authentifizierte Angreifer in Cross-Site-Scripting (XSS)-Angriffen.

Hochgradige Sicherheitsanfälligkeit für Kontenübernahme

Die schwerwiegendste Sicherheitsanfälligkeit, CVE-2024-4835 (CVSS 8.0), ist eine XSS-Sicherheitsanfälligkeit im VS-Code-Editor (Web IDE) auf gitlab.com, die es einem Angreifer ermöglicht, eine bösartige Seite zu erstellen, um sensible Benutzerinformationen zu exfiltrieren, was potenziell zu einer vollständigen Kontenübernahme führen kann.

Während eine erfolgreiche Ausnutzung keine Authentifizierung erfordert, ist dennoch eine Benutzerinteraktion erforderlich, was die Komplexität der Angriffe erhöht.

Der Sicherheitsforscher matanber entdeckte und meldete das Problem über die HackerOne-Bug-Bounty-Plattform an GitLab. Es wurde am 22. Mai 2024 mit den Versionen 17.0.1, 16.11.3 und 16.10.6 gepatcht.

„Heute veröffentlichen wir die Versionen 17.0.1, 16.11.3 und 16.10.6 für GitLab Community Edition (CE) und Enterprise Edition (EE),“ sagte GitLab in einer Sicherheits-Pressemitteilung am Mittwoch.

„Diese Versionen enthalten wichtige Fehler- und Sicherheitsbehebungen, und wir empfehlen dringend, dass alle GitLab-Installationen sofort auf eine dieser Versionen aktualisiert werden.“

Zusätzlich behobene Sicherheitsanfälligkeiten mittlerer Schwere

Neben den oben genannten hat das Unternehmen auch die folgenden sechs Sicherheitsanfälligkeiten mittlerer Schwere in GitLab CE/EE behoben:

• CVE-2024-2874: Diese Denial-of-Service (DoS)-Sicherheitsanfälligkeit im „Beschreibung“-Feld des Runners betrifft alle GitLab CE/EE-Versionen bis 16.10.6, Versionen 16.11 bis 16.11.3 und 17.0 bis 17.0.1. Ein Runner, der mit einer manipulierten Beschreibung registriert ist, hat das Potenzial, das Laden gezielter GitLab-Webressourcen zu stören.

• CVE-2023-7045: Durch die Ausnutzung dieser Sicherheitsanfälligkeit könnte ein Angreifer Anti-CSRF (Cross-Site Request Forgery)-Tokens über den Kubernetes Agent Server (KAS) exfiltrieren. Diese CSRF-Sicherheitsanfälligkeit existiert in GitLab CE/EE von Versionen 16.3 bis 16.10.6, von 16.11 bis 16.11.3 und von 17.0 bis 17.0.1.

• CVE-2023-6502: Diese Sicherheitsanfälligkeit ermöglicht es einem Angreifer, einen DoS mit einer manipulierten Wiki-Seite zu verursachen. Diese DoS-Bedingung wurde in GitLab CE/EE entdeckt und betrifft alle Versionen vor 16.10.6, Version 16.11 vor 16.11.3 und 17.0 vor 17.0.1.

• CVE-2024-1947: Durch die Ausnutzung dieser Sicherheitsanfälligkeit könnte ein Angreifer eine DoS-Bedingung schaffen, indem er manipulierte API-Aufrufe sendet. Diese DoS-Bedingung wurde in GitLab CE/EE gefunden und betrifft alle Versionen von 13.2.4 bis 16.10.6, 16.11 bis 16.11.3 und 17.0 bis 17.0.1.

• Eine Autorisierungsanfälligkeit in der API „Set Pipeline Status of a Commit“ könnte von einem authentifizierten Angreifer ausgenutzt werden, indem er eine manipulierte Benennungskonvention verwendet, um die Pipeline-Autorisierungslogik zu umgehen. Sie wurde in GitLab von Versionen 16.10 bis 16.10.6, 16.11 bis 16.11.3 und 17.0 bis 17.0.1 gefunden. Diese Sicherheitsanfälligkeit hat noch keine CVE (Common Vulnerability and Exposure)-ID zugewiesen bekommen.

• Diese Sicherheitsanfälligkeit, die noch keine CVE-ID zugewiesen bekommen hat, ermöglicht es einem Gastbenutzer, Abhängigkeitslisten privater Projekte über Job-Artefakte einzusehen. Sie wurde in GitLab CE/EE entdeckt und betrifft alle Versionen ab 11.11 vor 16.10.6, ab 16.11 vor 16.11.3 und ab 17.0 vor 17.0.1.

Um sich gegen die oben genannten Sicherheitsanfälligkeiten zu schützen, wird GitLab-Nutzern dringend empfohlen, ihre Installationen so schnell wie möglich auf eine der neuesten veröffentlichten Versionen, 17.0.1, 16.11.3 und 16.10.6, zu aktualisieren.