Sicherheitsupdates: Angreifer können GitLab-Accounts übernehmen
![Ein Update-Schild auf einer Holzplatte](https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/4/5/8/0/0/7/1/shutterstock_1494931898-f9bd87b2d71bc629.jpeg)
(Bild: Artur Szczybylo/Shutterstock.com)
Wichtige Sicherheitsupdates schließen mehrere Sicherheitslücken in GitLab. Der Anbieter rät zu einem zügigen Update.
Softwareentwickler sollen ihre GitLab-Umgebung aus Sicherheitsgründen auf den aktuellen Stand bringen. In aktuellen Versionen haben die Entwickler mehrere Schwachstellen geschlossen. Unter bestimmten Voraussetzungen können Angreifer GitLab-Accounts kompromittieren.
In einer Warnmeldung gibt der Anbieter an [1], dass GitLab Community Edition und Enterprise Edition bedroht sind. In den Ausgaben 16.9.6, 16.10.4 und 16.11.1 haben die Entwickler eigenen Angaben zufolge fünf Sicherheitslücken geschlossen. Auf GitLab.com sollen bereits die abgesicherten Ausgaben laufen.
Auswirkungen von Attacken
Wenn Bitbucket in einer GitLab-Umgebung als OAuth-2.0-Anbieter zum Einsatz kommt, kann ein Angreifer aufgrund einer Schwachstelle (CVE-2024-4024 "hoch") auf einem nicht näher beschrieben Weg ein GitLab-Konto, das mit dem Bitbucket-Konto eines anderen Benutzer verknüpft ist, übernehmen.
Darüber hinaus können Angreifer noch DoS-Attacken (CVE-2024-2434 „hoch“, CVE-2024-2829 „hoch“) ausführen oder Sicherheitsmaßnahmen (CVE-2024-4006 "mittel", CVE-2024-1347 "mittel") umgehen.
Derzeit gibt es noch keine Berichte zu Attacken. GitLab Inc. legt Nutzern dennoch eine zeitnahe Aktualisierung nahe.
(des [2])
URL dieses Artikels:
https://www.heise.de/-9699252
Links in diesem Artikel:
[1] https://about.gitlab.com/releases/2024/04/24/patch-release-gitlab-16-11-1-released/#unauthenticated-redos-in-filefinder-when-using-wildcard-filters-in-project-file-search
[2] mailto:des@heise.de
Copyright © 2024 Heise Medien