GitLab telah merilis pembaruan penting untuk mengatasi berbagai kerentanan, yang paling parah di antaranya (CVE-2024-6678) yang memungkinkan penyerang untuk memicu jalur pipa sebagai pengguna sembarangan dalam kondisi tertentu.
Rilis ini untuk versi 17.3.2, 17.2.5, dan 17.1.7 untuk GitLab Community Edition (CE) dan Enterprise Edition (EE), dan menambal total 18 masalah keamanan sebagai bagian dari pembaruan keamanan dua bulanan (terjadwal).
Dengan skor keparahan kritis sebesar 9,9, kerentanan CVE-2024-6678 dapat memungkinkan penyerang untuk mengeksekusi tindakan penghentian lingkungan sebagai pemilik pekerjaan tindakan penghentian.
Tingkat keparahan kelemahan tersebut berasal dari potensi eksploitasi jarak jauh, kurangnya interaksi pengguna, dan rendahnya hak istimewa yang diperlukan untuk mengeksploitasinya.
GitLab memperingatkan bahwa masalah tersebut memengaruhi versi CE/EE dari 8.14 hingga 17.1.7, versi dari 17.2 sebelum 17.2.5, dan versi dari 17.3 sebelum 17.3.2.
Kami sangat menyarankan agar semua instalasi yang menjalankan versi yang terpengaruh oleh masalah yang dijelaskan di bawah ini segera diperbarui ke versi terbaru sesegera mungkin. – GitLab
Pipeline GitLab adalah alur kerja otomatis yang digunakan untuk membangun, menguji, dan menyebarkan kode, bagian dari sistem CI/CD (Continuous Integration/Continuous Delivery) GitLab.
Mereka dirancang untuk menyederhanakan proses pengembangan perangkat lunak dengan mengotomatiskan tugas-tugas berulang dan memastikan bahwa perubahan pada basis kode diuji dan diterapkan secara konsisten.
GitLab menangani kerentanan eksekusi pipa arbitrer beberapa kali dalam beberapa bulan terakhir, termasuk pada bulan Juli 2024, untuk memperbaikinya CVE-2024-6385pada bulan Juni 2024, untuk memperbaiki CVE-2024-5655dan pada bulan September 2023 untuk menambal CVE-2023-5009semuanya dinilai kritis.
Itu buletin juga mencantumkan empat masalah dengan tingkat keparahan tinggi dengan skor antara 6,7 – 8,5, yang berpotensi memungkinkan penyerang mengganggu layanan, menjalankan perintah yang tidak sah, atau membahayakan sumber daya yang sensitif. Masalah-masalah tersebut dirangkum sebagai berikut:
- CVE-2024-8640: Akibat penyaringan input yang tidak tepat, penyerang dapat menyuntikkan perintah ke server Cube yang terhubung melalui konfigurasi YAML, yang berpotensi membahayakan integritas data. Berdampak pada GitLab EE mulai dari 16.11.
- CVE-2024-8635: Penyerang dapat mengeksploitasi kerentanan Server-Side Request Forgery (SSRF) dengan membuat URL Maven Dependency Proxy khusus untuk membuat permintaan ke sumber daya internal, yang membahayakan infrastruktur internal. Memengaruhi GitLab EE mulai dari 16.8.
- CVE-2024-8124: Penyerang dapat memicu serangan DoS dengan mengirimkan parameter ‘glm_source’ yang besar, sehingga sistem menjadi kewalahan dan tidak dapat diakses. Berdampak pada GitLab CE/EE mulai dari 16.4.
- CVE-2024-8641: Penyerang dapat memanfaatkan CI_JOB_TOKEN untuk mendapatkan akses ke token sesi GitLab milik korban, yang memungkinkan mereka membajak sesi tersebut. Memengaruhi GitLab CE/EE mulai dari versi 13.7.
Untuk petunjuk pembaruan, kode sumber, dan paket, lihat GitLab portal unduhan resmiPaket GitLab Runner terbaru adalah tersedia disini.
