Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Ancora bug critici per GitLab! Aggiornamenti di Sicurezza per Community ed Enterprise Edition

Redazione RHC : 11 Ottobre 2024 15:58

GitLab ha rilasciato aggiornamenti di sicurezza per Community Edition (CE) ed Enterprise Edition (EE) per risolvere otto vulnerabilità, incluso un bug critico che potrebbe consentire l’esecuzione di pipeline CI/CD su rami arbitrari.

Una delle vulnerabilità, registrata come CVE-2024-9164, ha ricevuto una valutazione vicina al massimo: 9,6 su 10 sulla scala CVSS. L’avviso ufficiale di GitLab afferma che la vulnerabilità colpisce le versioni EE da 12.5 a 17.2.9, da 17.3 a 17.3.5 e da 17.4 a 17.4.2. Il bug consente di eseguire pipeline su rami di repository non autorizzati.

L’elenco delle sette vulnerabilità rimanenti include quattro problemi di gravità elevata, due problemi di gravità media e un problema di gravità bassa. Diamo uno sguardo più da vicino alle vulnerabilità con il punteggio più alto:

  • CVE-2024-8970 (punteggio CVSS: 8,2) – consente a un utente malintenzionato di eseguire pipeline come un altro utente in determinate condizioni.
  • CVE-2024-8977 (punteggio CVSS: 8,2): consente attacchi SSRF quando è abilitata la dashboard di analisi dei prodotti.
  • CVE-2024-9631 (punteggio CVSS: 7,5) – Causa rallentamento durante la visualizzazione dei conflitti nelle richieste di unione.
  • CVE-2024-6530 (punteggio CVSS: 7,3) – Iniezione di HTML nella pagina di autorizzazione della nuova applicazione OAuth a causa di una vulnerabilità di scripting cross-site.

PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Le restanti tre vulnerabilità consentono alle chiavi di distribuzione di modificare i repository archiviati ( CVE-2024-9623 ), consentono agli ospiti di esporre modelli di progetto tramite l’API ( CVE-2024-5005 ) e consentono agli utenti non autorizzati di determinare la versione di GitLab ( CVE-2024- 9596 ).

Questi aggiornamenti continuano una serie di correzioni per le vulnerabilità della pipeline che GitLab ha divulgato negli ultimi mesi. Pertanto, a settembre, l’azienda ha risolto un’altra vulnerabilità critica ( CVE-2024-6678, punteggio CVSS: 9,9), che consentiva l’esecuzione dei lavori della pipeline per conto di un utente arbitrario.

Tre vulnerabilità simili erano state precedentemente corrette – CVE-2023-5009, CVE-2024-5655 e CVE-2024-6385 – ciascuna con un punteggio CVSS di 9,6.

Al momento non ci sono informazioni sullo sfruttamento attivo delle vulnerabilità appena corrette, ma gli utenti sono fortemente incoraggiati ad aggiornare le proprie versioni di GitLab per proteggersi da possibili minacce.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Truffe e Schiavitù Digitali: La Cambogia è la Capitale Mondiale della Frode Online

Secondo un nuovo rapporto del gruppo per i diritti umani Amnesty International, pubblicato dopo quasi due anni di ricerche sulla situazione, la Cambogia resta un punto caldo sulla mappa mondiale della...

Dopo aver criptato mezzo mondo, Hunters International chiude! Distribuito gratuitamente il Decryptor

Hunters International, il gruppo responsabile di uno dei più grandi attacchi ransomware degli ultimi anni, ha annunciato ufficialmente la cessazione delle sue attività. In una dichiarazione ...

Da AI white ad AI black il passo è breve. Nuovi strumenti per Script Kiddies bussano alle porte

I ricercatori di Okta  hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...

Se è gratuito, il prodotto sei tu. Google paga 314 milioni di dollari per violazione dei dati agli utenti Android

Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...

CTF di RHC 2025. Ingegneria sociale in gioco: scopri la quarta “flag” non risolta

La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...