Yaygın olarak kullanılan DevSecops platformu olan GITLAB, saldırganların kullanıcı hesaplarını devralmasına, kötü amaçlı kod enjekte etmesine ve hizmetleri bozmasına izin verebilecek birden fazla yüksek şiddetli güvenlik açıklarını ele alan acil güvenlik güncellemeleri yayınladı.
Hem Community Edition (CE) hem de Enterprise Edition (EE) için 18.0.2, 17.11.4 ve 17.10.8 yeni sürümleri – kritik düzeltmeler içeriyor ve yöneticilerin derhal yükseltmeleri şiddetle tavsiye ediliyor.
Bu güncellemeler özellikle kendi GITLAB örneklerini yöneten kuruluşlar için önemlidir.
.png
)
Barındırılan sürüm GitLab.com zaten yamalı sürümleri çalıştırıyor ve GitLab adanmış müşterilerin harekete geçmesi gerekmiyor.
Ancak, bunların kullanılmasını önlemek için kendi kendini yöneten kurulumlar yükseltilmelidir. güvenlik açıkları.
Temel güvenlik açıklarının teknik detayları
Aşağıdaki tablo, bu sürümlerde ele alınan en kritik güvenlik açıklarını özetlemektedir:
| CVE kimliği | Güvenlik Açığı Türü | Etkilenmiş sürümler | Şiddet (CVSS) | Tanım |
|---|---|---|---|---|
| CVE-2025-4278 | HTML enjeksiyonu | 18.0.2’den önce 18.0’dan gelen tüm sürümler | 8.7 | Arama sayfasında kötü amaçlı kod enjeksiyonu yoluyla hesap devralmasına izin verir |
| CVE-2025-2254 | Siteler Arası Komut Dosyası (XSS) | 17.9 17.10.8, 17.11’den önce 17.11.4, 18.0 18.0.2’den önce | 8.7 | Snippet görüntüleyicisinde kötü amaçlı komut dosyası yürütülmesine izin vererek oturumun kaçırılmasını sağlayan |
| CVE-2025-5121 | Eksik Yetkilendirme | Ultimate Ee: 17.11’den önce 17.11, 18.0 18.0.2’den önce | 8.5 | Herhangi bir projenin gelecekteki tüm boru hatlarına kötü amaçlı CI/CD işlerinin enjeksiyonunu sağlar |
| CVE-2025-0673 | Hizmet Reddi (DOS) | 17.7 17.10.8, 17.11 Öncesi 17.11.4, 18.0 18.0.2’den önce | 7.5 | Sonsuz yönlendirme döngüsü, meşru kullanıcılara erişimi reddederek bellek tükenmesine neden olur |
| CVE-2025-1516 | Webhook jeton adları aracılığıyla dos | 8.7 17.10.8, 17.11’den önce 17.11.4, 18.0 18.0.2’den önce | 6.5 | Büyük Webhook jeton adları kaynak tükenmesine neden olur |
| CVE-2025-1478 | Tahta İsimleri aracılığıyla | 8.13 17.10.7, 17.11’den önce 17.11.3, 18.0 18.0.1’den önce | 6.5 | Büyük Kurul İsimleri Kaynak Yorumuna Neden Olur |
| CVE-2024-9512 | Bilgi Açıklama | 17.10.8, 17.11’den önce 17.11.4, 18.0 18.0.2’den önce | 5.3 | İkincil düğüm senkronize olmadığında özel repo klonu mümkün |
| CVE-2025-5195 | Yetkilendirme Bypass | 17.9 17.10.7’den önce, 17.11 17.11.3’ten önce, 18.0 18.0.1’den önce | 4.3 | Ayrıcalıkların ötesinde keyfi uyum çerçevelerine erişim |
| CVE-2025-5982 | IP kısıtlama bypass | EE: 17.10.8’den önce 12.0, 17.11 17.11.4, 18.0 18.0.2’den önce | 3.7 | Hassas verileri görüntülemek için grup IP kısıtlamalarını atladı |
Saldırganlar bu kusurları nasıl kullanabilir?
En şiddetli güvenlik açığı olan CVE-2025-4278, saldırganların GitLab arama sayfasına kötü niyetli HTML enjekte etmesini sağlar.
Belirli koşullar altında, bu, bir kurbanın oturumu bağlamında keyfi kod uygulayarak hesap devralmasına yol açabilir.
Bu özellikle tehlikelidir, çünkü GITLAB depoları genellikle hassas kaynak kodu ve yapılandırma dosyaları içerir, bu da onları siber suçlular için çekici hedefler yapar.
Bir başka kritik konu olan CVE-2025-2254, snippet izleyicisinde bir sterapti-komut dosyası (XSS) güvenlik açığıdır.
Saldırganlar, meşru bir kullanıcı bağlamında yürütülen ve potansiyel olarak oturum kaçırma veya veri hırsızlığına yol açan kötü amaçlı komut dosyaları enjekte edebilir.
Bu güvenlik açığı çok çeşitli GitLab versiyonlarını etkiler ve hemen yama gerektirir.
GitLab Ultimate EE kullanan kuruluşlar için CVE-2025-5121 özellikle ilgilidir.
Kimlik doğrulamalı bir saldırgan, herhangi bir projenin gelecekteki tüm boru hatlarına kötü niyetli CI/CD işlerini enjekte edebilir. Bu, saldırganların keyfi kod yürütmesine, hassas verileri çalmasına veya oluşturma ve dağıtım süreçlerini bozmasına izin verebilir.
Etki, GITLAB nihai lisansı olan örneklerle sınırlıdır, ancak hasar potansiyeli önemlidir.
Çeşitli Hizmet Reddetme (DOS) güvenlik açıkları-CVE-2025-0673, CVE-2025-1516 ve CVE-2025-1478-sunucu kaynaklarına kullanılarak hizmet kesintilerine neden olabilir.
Bu güvenlik açıkları, çalışma süresinin kritik olduğu yüksek kullanılabilirlik ortamlarında özellikle tehlikelidir.
Diğer önemli düzeltmeler arasında bilgi açıklama güvenlik açıkları (CVE-2024-9512, CVE-2025-5195) ve bir grup IP kısıtlama baypas (CVE-2025-5982) bulunur.
Önerilen eylemler ve en iyi uygulamalar
GitLab, etkilenen tüm kurulumların en kısa sürüme en kısa sürüme yükseltilmesini şiddetle tavsiye eder.
Aşağıdaki teknik adımlar önerilmektedir:
- Gitlab’ı yükselt: Dağıtımınız için uygun güncelleme yöntemini kullanın (omnibus, kaynak kodu, dümen grafiği, vb.).
- Anomalileri Monitör: Özellikle CI/CD boru hatlarında ve kullanıcı oturumlarında olağandışı etkinliği izleyin.
- Erişim Denetimlerini İnceleyin: Yalnızca yetkili kullanıcıların hassas depolara ve CI/CD boru hatlarına erişebildiğinden emin olun.
- Yama Bildirimleri: Gelecek güncellemeler hakkında bilgi sahibi olmak için GitLab’ın Yama Sürüm Bildirimlerine abone olun.
GitLab’ın Devsecops platformu, 30 milyondan fazla kullanıcı ve Fortune 100 şirketlerinin yarısından fazlası tarafından kullanılmaktadır.
Yazılım geliştirme ve dağıtımındaki kritik rolü göz önüne alındığında, hassas verileri korumak ve operasyonel sürekliliği korumak için hızlı eylem esastır.
Bu güvenlik açıklarını ele alarak, kuruluşlar kalkınma boru hatlarını koruyabilir ve potansiyel olarak felaket güvenlik olaylarını önleyebilir.
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin