GitLab-Versionen mit Sicherheitslücken
GitLab, eine Versionsverwaltungsplattform für Softwareprojekte, hat in den letzten Updates mehrere Sicherheitslücken entdeckt. Diese Sicherheitslücken können zu kompromittierten Systemen führen, wenn Benutzerkonten genutzt werden. Die Sicherheitslücken wurden in Versions 19.4.1, 19.3.3 und 19.2.7 von GitLab Community Edition und Enterprise Edition entdeckt.
Kritische Sicherheitslücken
Zwei der Sicherheitslücken wurden als „kritisch“ eingestuft. In beiden Fällen können angemeldete Nutzer einen speziell gestalteten regulären Ausdruck in einer CI/CD-Konfiguration ausnutzen, um unter bestimmten Bedingungen beliebigen Code auf dem GitLab-Server auszuführen. Ursache für diese Schwachstellen sind Speicherfehler beim Parsen des Ausdrucks und Integer-Überlauf beim Kompilieren.
Hochschwere Sicherheitslücken
Zwei weitere Sicherheitslücken wurden mit dem Bedrohungsgrad „hoch“ eingestuft. Im ersten Fall können angemeldete Angreifer im Zuge einer XSS-Attacke JavaScript im Browser von Opfern ausführen. Angriffspunkt ist die Anzeige von Änderungen an Merge-Requests. Im zweiten Fall sind Zugriffe auf eigentlich geschützte Werte von CI/CD-Variablen möglich. Diese Schwachstelle betrifft die Enterprise Edition und hängt mit der Fehleranalyse von Jobs über GitLab Duo AI zusammen.
Allgemeine Sicherheitslücken
Die übrigen sieben Sicherheitslücken betreffen unter anderem Berechtigungsprüfungen und den Zugriff auf vertrauliche Inhalte. So könnte eine der Lücken dazu führen, dass Inhalte von CI/CD-Jobprotokollen ohne Anmeldung lesbar sind. Zusätzlich haben die Entwickler einige Bugs beseitigt. In Version 19.2.7 wurde etwa die Dokumentationsseite für Slack-Benachrichtigungen wiederhergestellt.
Maßnahmen
GitLab.com läuft nach Angaben der Entwickler bereits mit einer abgesicherten Version. Kunden von GitLab Dedicated müssen nicht selbst tätig werden. Kunden von GitLab Dedicated müssen jedoch sicherstellen, dass ihre Installationen auf die neuesten Updates aktualisiert sind.
Exklusives Angebot
Gere o bietet ein 1 Jahr mit 50 % Rabatt auf das heise+ abonnement. Inklusive aller Online- und Magazin-Inhalte. Exklusives Aktionsangebot: Lesen Sie heise+ ein Jahr lang mit 50 % Rabatt und sparen Sie danach dauerhaft 20 % im Jahresabo. Entdecken Sie alle Inhalte auf heise online und unsere Magazin-Inhalte.