GitLab zakrpio ranjivosti koje mogu voditi do otmice sesija
GitLab je objavio bezbednosne verzije 18.11.1, 18.10.4 i 18.9.6 za Community Edition i Enterprise Edition, kojima zatvara više ranjivosti u self-managed instalacijama. Najozbiljniji propusti uključuju GraphQL CSRF, grešku u Web IDE putanjama koja može omogućiti izvršavanje JavaScript koda u korisničkoj sesiji i XSS u Storybook okruženju. U kombinaciji, ovi propusti mogu dovesti do otmice sesije, krađe tokena, neovlašćenih izmena i kompromitovanja naloga. GitLab.com je već ažuriran, dok administratori sopstvenih GitLab instanci treba odmah da primene odgovarajuću verziju.
GitLab serveri često čuvaju izvorni kod, CI/CD tajne, tokene i pristup produkcionim procesima, pa kompromitovan nalog nije samo problem jednog korisnika. Kod internet dostupnih instanci napadač može preko korisničke sesije doći do projekata, tokena i podešavanja koja otvaraju širi put ka lancu razvoja i isporuke softvera.
- Ažurirati self-managed GitLab instance na 18.11.1, 18.10.4 ili 18.9.6
- Pregledati audit logove za sumnjive GraphQL, Web IDE, Storybook i import aktivnosti
- Razmotriti prisilnu odjavu korisnika i rotaciju pristupnih tokena na izloženim instancama
- Proveriti dozvole korisnika i tokena, posebno kod projekata sa CI/CD tajnama
- Planirati downtime ili zero-downtime proceduru zbog database i post-deploy migracija