GitLab, platformunda saldırganların güvenlik mekanizmalarını atlamasına, kötü amaçlı komut dosyalarını yürütmesine ve duyarlı verilere erişmesine izin verebilecek birden fazla yüksek aralıklı güvenlik açıklarını ele almak için acilen güvenlik güncellemeleri yayınladı.
Hem Community Edition (CE) hem de Enterprise Edition (EE) için 17.9.1, 17.8.4 ve 17.7.6 sürümlerine dahil edilen yamalar, Kubernetes entegrasyonlarını, bağımlılık yönetimi ve yetkilendirme sistemlerini etkileyen kritik riskleri azaltıyor.
Kendi kendini yöneten tüm örnekler için acil yükseltmeler şiddetle tavsiye edilir.
Ayrıntılı güvenlik açığı analizi
CVE-2025-0475: Kubernetes Proxy Endpoint’te XSS (CVSS 8.7)
Gitlab’ın Kubernetes proxy uç noktasında yüksek şiddetli bir siteler arası komut dosyası (XSS) güvenlik açığı keşfedildi ve saldırganların yanlış sterilize edilmiş içerik aracılığıyla kötü amaçlı komut dosyaları enjekte etmelerini sağladı.
Bu kusurdan yararlanmak (15.10 ila 17.9.1 sürümlerini etkilemek) kullanıcı oturumlarını tehlikeye atabilir veya belirli koşullar altında trafiği yönlendirebilir. .
CVE-2025-0555: Maven Bağımlılık Proxy’de XSS (CVSS 7.7)
GitLab EE’nin Maven Bağımlılık Proxy’sindeki bir başka yüksek şiddetli XSS kusuru, saldırganların güvenlik kontrollerini atlamasına ve kullanıcı tarayıcılarında keyfi komut dosyaları yürütmesine izin verdi.
16.6 ila 17.9.1 sürümlerini etkileyen bu güvenlik açığı, bağımlılık yönetim sistemlerinde tedarik zinciri risklerinin altını çizmektedir.
CVE-2024-8186: XSS’ye yol açan HTML enjeksiyonu (CVSS 5.4)
GitLab’ın çocuk öğe arama özelliğinde (16.6 ila 17.9.1 sürümleri) orta yüzlü bir HTML enjeksiyon kusuru, saldırganların kötü niyetli işaretlemeye enjekte etmesine izin verdi ve potansiyel olarak kendi kendine barındırılan örneklere XSS saldırılarına yol açtı.
CVE-2024-10925: Konuk Kullanıcı Yetkilendirme Bypass (CVSS 5.3)
Bu orta şiddetli kusur, GITLAB EE’deki konuk kullanıcıların (16.2 ila 17.9.1 sürümleri) hassas kurallar ve yapılandırmalar içeren güvenlik politikası YAML dosyalarını okumasına izin verdi.
CVE-2025-0307: Planlayıcı Rolü Veri Maruziyeti (CVSS 4.3)
Özel GITLAB EE projelerinde (17.7 ila 17.9.1 sürümleri) planlayıcı rolüne sahip kullanıcılar, kod inceleme analitiğine uygunsuz bir şekilde erişebilir ve en az müstehcen prensipleri ihlal edebilir.
Yama dağıtım ve hafifletme
GitLab ve özel örnekler otomatik düzeltmeler aldı, ancak kendi kendini yöneten dağıtımlar, 17.9.1, 17.8.4 veya 17.7.6 sürümlerinde manuel yükseltmeler gerektiriyor.
Şirket, 27 Mart 2025’te yayınlanacak olan bu CVES için tam teknik ayrıntılarla 30 günlük bir açıklama politikasına uymaktadır.
Yöneticiler:
- Kubernetes, Maven veya Granüler Rol Tabanlı Erişim Kontrolleri kullanan örnekler için yükseltmelere öncelik verin.
- En az ayrı politikalara uymayı sağlamak için kullanıcı izinlerini denetleyin.
- Olağandışı HTML/komut dosyası yükleri için proxy son nokta trafiğini izleyin.
Bu güvenlik açıkları, özellikle saldırganların giderek daha fazla hedeflendiği gibi, CI/CD platformlarında sistemik riskleri vurgulamaktadır:
- Bağımlılık zincirleri: CVE-2025-0555 gibi istismarlar, kötü amaçlı paketlerin yapılara nasıl sızabileceğini gösterir.
- Üstün ayrıcalıklı roller: CVE-2025-0307 gibi kusurlar karmaşık projelerde yanlış yapılandırılmış izinleri vurgular.
- Üçüncü taraf entegrasyonlar: Kubernetes proxy güvenlik açıkları (CVE-2025-0475) bulut anadili takımlarda riskleri ortaya çıkarır.
Gitlab, araştırmacılar Joaxcar, Yuki_osaki ve Weasterhacker’a Hata Bounty programı aracılığıyla CVSS derecelendirmeleri ile orantılı olarak ödeme ödedi.
GitLab’a güvenen 30 milyondan fazla kullanıcı ile bu yamalar, modern yazılım dağıtım boru hatlarına olan güveni korumak için kritik öneme sahiptir.
Collect Threat Intelligence on the Latest Malware and Phishing Attacks with ANY.RUN TI Lookup -> Try for free