Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
GitLab naprawia kolejne błędy w tym jeden krytyczny
Niecały miesiąc po naprawieniu problemów, o których pisaliśmy, GitLab ponownie wydał poprawione wersje. Podobnie jak poprzednio, aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Tym razem poprawione wersje oznaczone są numerami 17.2.9, 17.3.5 oraz 17.4.2.
TL;DR
- wydano nowe, poprawione wersje GitLab 17.4.2, 17.3.5 i 17.2.9
- poprawiono kilka błędów, w tym jeden krytyczny oraz cztery na poziomie wysokim
- po raz kolejny błąd został znaleziony dzięki programowi bug bounty HackerOne
Najpoważniejszy załatany błąd to CVE-2024-9164 umożliwiający nieautoryzowanym użytkownikom uruchamianie tzw. pipelines. Został znaleziony w ramach programu bug bounty na platformie HackerOne. Dotyczy on wersji dotyczy wszystkich wersji GitLab CE/EE od 12.5 do 17.2.8, od 17.3 do 17.3.4 oraz od 17.4 do 17.4.1. Problem otrzymał ocenę CVSS v3.1 na poziomie 9,6, czyli krytyczną,
Pozostałe błędy o wysokim poziomie istotności naprawione w wydanych wersjach to:
- CVE-2024-8970 – możliwość podszycia się pod dowolnego użytkownika w pewnych okolicznościach i uruchomienie w jego imieniu pipeline,
- CVE-2024-8977 – SSRF (Server Side Request Forgery) w instancjach GitLab z uruchomionym Analytics Dashboard
- CVE-2024-9631 – przeglądanie różnic przy merge requestach zawierających konflikty może być wolne
- CVE-2024-6530 – HTML injection na stronie OAuth
Tradycyjnie zalecamy jak najszybszą aktualizację GitLab do najnowszej wersji.
~Paweł Różański
Prawdę mówiąc, wydają te poprawki krytyczne co najmniej raz na miesiąc: https://about.gitlab.com/releases/categories/releases/
A zamierzają dwa razy na miesiąc, za to inne patch versions rzadziej: https://about.gitlab.com/blog/2024/03/26/were-combining-patch-and-security-releases/
Czy ktoś w końcu przerwie tę idiotyczną grę w kotka i myszkę z wiecznym łataniem kodu ? Oprogramowanie to się pisze bezpieczne od razu a testuje w laboratorium a nie na użytkownikach. W dobie SI to proste. Odpowiednio wytrenowany model testowy załatwi 99% pracy.
proszę pokaż choć jeden przykład oprogramowania „bezpiecznego od razu” ;). Ciekawe dlaczego wielkie firmy w branży jeszcze nie sprzedają „odpowiednio wytrenowanych modeli testowych” za niewielkie pieniądze?
A z testowaniem – poczytaj sobie o testowaniu a będziesz wiedział że pełne przetestowanie dowolnego nietrywialnego programu to problem np-zupełny.
Jakoś dziwnie mi się wydaje że problemem nie jest czas wielomianowy tylko – niechlujstwo, pośpiech oraz lenistwo. Wygląda na to że SI niedługo to udowodni.