GitLab dicht 12 jaar oud gat dat een 10 scoort op de CVSS-securityschaal

In dit artikel:

GitLab heeft woensdag zeven beveiligingsupdates uitgebracht voor een kritieke kwetsbaarheid in zowel Community Edition als Enterprise Edition. Het probleem, dat teruggaat tot versie 7.0 uit 2014, maakt het mogelijk dat aanvallers zonder inloggen op afstand eigen code uitvoeren. De fout ontstaat door een integer overflow bij het verwerken van een speciaal geconstrueerde reguliere expressie en heeft de maximale CVSS-score van 10 gekregen.

Beheerders van versies ouder dan 18.11 moeten overstappen op versie 18.11.13. Voor de 19-serie verschenen eveneens updates, van 19.0.10 tot en met 19.5.1. Vier patches zijn backports voor versies die niet meer regulier worden ondersteund. Het Nederlandse Nationaal Cyber Security Centrum meldt dat er nog geen misbruik is vastgesteld. De geschatte kans daarop is gemiddeld, maar de mogelijke gevolgen zijn groot. Het adviseert gebruikers de updates zo snel mogelijk te installeren.