GitLab Community ve Enterprise Edition ürünlerinin belirli sürümlerini etkileyen kritik bir güvenlik açığı, herhangi bir kullanıcı gibi işlem hatlarını çalıştırmak için kullanılabilir.
GitLab, popüler bir web tabanlı açık kaynaklı yazılım proje yönetimi ve iş takip platformudur. Tahminen bir milyon aktif lisans kullanıcısı var.
Son güncellemede ele alınan güvenlik sorunu CVE-2024-5655 olarak izleniyor ve 10 üzerinden 9,6’lık bir önem puanına sahip. Satıcının tanımlamadığı belirli koşullar altında, bir saldırgan bunu başka bir kullanıcı olarak bir boru hattını tetiklemek için kullanabilir.
GitLab ardışık düzenleri, Sürekli Entegrasyon/Sürekli Dağıtım (CI/CD) sisteminin, kullanıcıların kod değişikliklerini oluşturmak, test etmek veya dağıtmak için işlemleri ve görevleri paralel veya sırayla otomatik olarak çalıştırmasına olanak tanıyan bir özelliğidir.
Güvenlik açığı, 15.8’den 16.11.4’e, 17.0.0’dan 17.0.2’ye ve 17.1.0’dan 17.1.0’a kadar tüm GitLab CE/EE sürümlerini etkiliyor.
GitLab, 17.1.1, 17.0.3 ve 16.11.5 sürümlerini yayınlayarak bu güvenlik açığını giderdi ve kullanıcılara güncellemeleri mümkün olan en kısa sürede uygulamalarını tavsiye ediyor.
Satıcı ayrıca, en son sürümlere yükseltmenin, kullanıcıların bilmesi gereken iki önemli değişiklikle birlikte geldiğini de bildiriyor:
- Bir birleştirme isteği önceki hedef dalı birleştirildikten sonra yeniden hedeflendiğinde işlem hatları artık otomatik olarak çalışmayacaktır. Kullanıcıların, değişiklikleri için CI’yi yürütmek üzere işlem hattını manuel olarak başlatması gerekir.
- CI_JOB_TOKEN artık 17.0.0 sürümünden itibaren GraphQL kimlik doğrulaması için varsayılan olarak devre dışıdır ve bu değişiklik 17.0.3 ve 16.11.5 sürümlerine desteklenmiştir. GraphQL API’sine erişmek için kullanıcıların kimlik doğrulama amacıyla desteklenen belirteç türlerinden birini yapılandırması gerekir.
En son GitLab güncellemesi ayrıca 13 başka sorun için de güvenlik düzeltmeleri sunuyor; bunlardan üçünün ciddiyeti “yüksek” olarak derecelendiriliyor (CVSS v3.1 puanı: 7,5 – 8,7). Bu üçü özetle şöyle:
- CVE-2024-4901: Saklanan XSS güvenlik açığı, içe aktarılan projelerden gelen kötü niyetli kayıt notlarının komut dosyaları eklemesine izin vererek, potansiyel olarak yetkisiz eylemlere ve verilerin açığa çıkmasına neden olur.
- CVE-2024-4994: GraphQL API’sindeki bir CSRF güvenlik açığı, saldırganların kimliği doğrulanmış kullanıcıları istenmeyen istekler yapmaları için kandırarak rastgele GraphQL mutasyonları yürütmesine olanak tanır ve potansiyel olarak veri manipülasyonuna ve yetkisiz işlemlere yol açar.
- CVE-2024-6323: GitLab’ın genel arama özelliğindeki yetkilendirme açığı, saldırganların kamuya açık projelerdeki özel veri havuzlarındaki arama sonuçlarını görüntülemesine olanak tanıyor ve bu da bilgi sızıntılarına ve hassas verilere yetkisiz erişime yol açabiliyor.
GitLab güncellemeleri için kaynaklar burada, GitLab Runner yönergeleri ise bu sayfada bulunabilir.