GitLab Inc. heeft een reeks kwetsbaarheden opgelost in zowel GitLab Community Edition als Enterprise Edition. Het gaat om problemen die speelden in versies vanaf 9.2 tot aan, maar niet inclusief, 18.11.1 — waaronder diverse 18.x-releases.

De risico’s zaten verspreid over meerdere onderdelen: de discussions-endpoint, GraphQL API, het ophalen van notities (note retrieval), het importeren van issues, de Mermaid-sandbox, de Storybook-ontwikkelomgeving, de weergave van issues, de webinterface en Virtual Registries.

Een aantal problemen maakte het voor ingelogde gebruikers mogelijk om door te weinig resource-limieten of gebrekkige inputvalidatie de beschikbare resources uit te putten. Gevolg: een Denial-of-Service.

Er waren ook autorisatie- en beveiligingslekken:
– Door foutieve autorisatiecontroles konden project-owners de “group fork prevention” omzeilen.
– Onvoldoende CSRF-bescherming liet ongeauthenticeerde gebruikers toch GraphQL-mutaties uitvoeren.
– Een XSS-kwetsbaarheid stelde ongeauthenticeerde aanvallers in staat om JavaScript uit te voeren in de browser van een slachtoffer.

Daarnaast konden door onjuiste toegangscontrole de titels van vertrouwelijke issues in publieke projecten worden ingezien. Ook bleken verkeerd gescopeerde inloggegevens toegang te geven tot Virtual Registries. Sommige lekken maakten zelfs het injecteren van ongeautoriseerde content in browsersessies van andere gebruikers mogelijk.

De kwetsbaarheden kwamen voor in meerdere opeenvolgende versies en troffen zowel de Community- als de Enterprise-editie van GitLab.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.