Sicherheitslücken: GitLab gegen mögliche Attacken abgesichert
Updates schließen mehrere Schwachstellen in GitLab. Eine Lücke bleibt aber offensichtlich erstmal bestehen.
(Bild: Artur Szczybylo/Shutterstock.com)
Angreifer können an mehreren Sicherheitslücken in GitLab ansetzen und Systeme attackieren. Aktualisierte Versionen schaffen Abhilfe. GitLab hilft bei der Softwareentwicklung und Versionsverwaltung. Wie aus einer Warnmeldung hervorgeht, haben die Entwickler die reparierten Ausgaben der Community und Enterprise Edition 16.7.6, 16.8.3 und 19.9.1 veröffentlicht.
Die Entwickler raten zu zügigen Updates. Ob es bereits Attacken gibt, ist derzeit nicht bekannt. Auf Gitlab.com läuft ihnen zufolge bereits eine abgesicherte Ausgabe.
Mögliche Attacken
Darin haben sie eigenen Angaben zufolge acht Sicherheitslücken geschlossen. Eine Schwachstelle (CVE-2024-1451) ist mit dem Bedrohungsgrad "hoch" eingestuft. An dieser Stele können Angreifer auf der User-Profil-Seite für eine persistente XSS-Attacke ansetzen, um so beliebige Aktionen im Namen des Opfers auszuführen.
Die weiteren Schwachstellen sind mit "mittel" und "niedrig" eingestuft. Hier können sich Angreifer unter anderem höhere Nutzerrechte verschaffen oder Authentifizierungsmaßnahmen umgehen. Wie Angriffe ablaufen könnten, ist derzeit nicht bekannt. Den Großteil der Lücken haben Sicherheitsforscher über das Bug-Bounty-Programm von Hackerone eingereicht.
Weiteres Sicherheitsrisiko
Aufgrund einer Schwachstelle (CVE-2024-0985 "hoch") in PostgreSQL können Angreifer beliebige SQL-Befehle ausführen. Die Lücke ist mittlerweile in den Versionen 12.18, 13.14, 14.11 und 15.6 gestopft. Aus dem Changelog für die aktuellen GitLab-Versionen geht aber nicht hervor, dass die Entwickler die abgesicherten PostgreSQL-Ausgaben implementiert haben. Die Antwort auf eine Anfrage von heise online dazu steht noch aus.
(des)
