GitLab Seite 2

In GitLab CE/EE wurde eine Schwachstelle behoben, die es nicht authentifizierten Benutzern ermöglichte, einen Denial-of-Service zu verursachen. Betroffen sind alle Versionen ab 12.2 vor 18.7.5, 18.8 vor 18.8.5 sowie 18.9 vor 18.9.1. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die alle Versionen ab 10.8 vor 18.6.6, 18.7 vor 18.7.4 und 18.8 vor 18.8.4 betrifft und unter bestimmten Bedingungen durch einen nicht authentifizierten Benutzer ausgenutzt werden konnte. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die es nicht authentifizierten Benutzern ermöglichte, einen Denial-of-Service zu verursachen. Betroffen sind alle Versionen ab 16.11 vor 18.7.6, 18.8 vor 18.8.6 sowie 18.9 vor 18.9.2. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die alle Versionen ab 18.4 vor 18.6.6, 18.7 vor 18.7.4 und 18.8 vor 18.8.4 betrifft und es einem nicht authentifizierten Benutzer ermöglicht hätte, einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die alle Versionen ab 18.5 vor 18.9.7, 18.10 vor 18.10.6 und 18.11 vor 18.11.3 betrifft und es einem nicht authentifizierten Benutzer ermöglicht hätte, einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die alle Versionen ab 18.9 vor 18.9.2 betrifft und es einem nicht authentifizierten Benutzer ermöglicht hätte, durch speziell präparierte Anfragen einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Sicherheitslücke behoben, die alle Versionen ab 18.10 vor 18.10.4 und 18.11 vor 18.11.1 betrifft und unauthentifizierten Benutzern die Ausführung von beliebigem JavaScript-Code ermöglicht haben könnte. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Sicherheitslücke behoben, die alle Versionen ab 17.10 vor 18.8.7, 18.9 vor 18.9.3 und 18.10 vor 18.10.1 betrifft und unauthentifizierten Benutzern unter Umständen die Ausführung von Code ermöglicht haben könnte. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab EE wurde eine Sicherheitslücke behoben, die alle Versionen ab 18.8 vor 18.10.7, 18.11 vor 18.11.4 und 19.0 vor 19.0.1 betrifft und unter bestimmten Bedingungen authentifizierten Benutzern erweiterte Rechte verschafft haben könnte. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Sicherheitslücke behoben, die alle Versionen ab 17.0 vor 18.9.6, 18.10 vor 18.10.4 und 18.11 vor 18.11.1 betrifft und unauthentifizierten Benutzern unter Umständen die Ausführung von Code ermöglicht haben könnte. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In GitLab CE/EE wurde eine Schwachstelle behoben, die alle Versionen ab 18.2 vor 18.6.6, 18.7 vor 18.7.4 und 18.8 vor 18.8.4 betrifft und es einem nicht authentifizierten Benutzer ermöglicht hätte, Token zu stehlen. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

GitLab hat laut eigenem Advisory ein Problem in GitLab CE/EE behoben, das unauthentifizierten Nutzern erlaubte, durch präparierte Anfragen mit fehlerhaften Authentifizierungsdaten einen Denial-of-Service-Zustand auszulösen. Betroffen sind alle Versionen ab 11.9 vor 18.6.4, 18.7 vor 18.7.2 sowie 18.8 vor 18.8.2. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

GitLab hat in GitLab CE/EE ein Problem behoben, das in allen Versionen ab 17.7 vor 18.6.4, ab 18.7 vor 18.7.2 sowie ab 18.8 vor 18.8.2 bestand. Durch eine fehlerhafte Autorisierungsprüfung in API-Endpunkten konnte ein nicht authentifizierter Nutzer einen Denial-of-Service-Zustand herbeiführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf GitLab 18.6.4, 18.7.2 beziehungsweise 18.8.2 oder neuer.

In GitLab CE/EE (Versionen 18.6 vor 18.6.4, 18.7 vor 18.7.2 sowie 18.8 vor 18.8.2) kann ein Angreifer mit Kenntnis der Credential-ID eines Opfers die Zwei-Faktor-Authentifizierung umgehen, indem er gefälschte Geräteantworten übermittelt. GitLab hat das Problem behoben. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.

GitLab hat eine Schwachstelle in GitLab CE/EE behoben, die alle Versionen ab 15.10 bis vor 18.3.6, ab 18.4 bis vor 18.4.4 sowie ab 18.5 bis vor 18.5.2 betraf. Durch unzureichende Eingabevalidierung in der Kubernetes-Proxy-Funktionalität konnte ein authentifizierter Nutzer Stored Cross-Site-Scripting ausführen. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: auf eine der genannten korrigierten GitLab-Versionen aktualisieren.

In GitLab CE/EE bestand laut NVD unter bestimmten Umständen eine Schwachstelle, über die ein nicht authentifizierter Nutzer durch Einschleusen bösartiger externer Skripte in die Swagger UI unberechtigte Aktionen im Namen eines anderen Nutzers ausführen konnte. Betroffen sind alle Versionen ab 15.11 vor 18.4.6, 18.5 vor 18.5.4 sowie 18.6 vor 18.6.2. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der fehlerbereinigten Versionen.

GitLab hat eine Schwachstelle in GitLab CE/EE behoben, die alle Versionen ab 18.4 vor 18.4.6, 18.5 vor 18.5.4 und 18.6 vor 18.6.2 betrifft. Unter bestimmten Bedingungen konnte ein authentifizierter Benutzer durch das Anlegen von Wiki-Seiten mit bösartigem Inhalt unautorisierte Aktionen im Namen eines anderen Benutzers ausführen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 18.4.6, 18.5.4 bzw. 18.6.2 oder neuer.

GitLab CE/EE ist in allen Versionen von 17.1 vor 18.4.6, 18.5 vor 18.5.4 sowie 18.6 vor 18.6.2 von einer Schwachstelle betroffen, die es einem authentifizierten Nutzer erlaubt, durch Einschleusen von bösartigem HTML in die Vulnerability-Code-Flow-Anzeige nicht autorisierte Aktionen im Namen anderer Nutzer auszuführen. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf die jeweils fehlerbereinigte Version (18.4.6, 18.5.4 oder 18.6.2).

GitLab hat laut eigenem Advisory ein Problem in GitLab CE/EE behoben, das unauthentifizierten Nutzern erlaubte, durch präparierte GraphQL-Anfragen die Komplexitätsgrenzen zu umgehen und einen Denial-of-Service-Zustand auszulösen. Betroffen sind alle Versionen ab 11.10 vor 18.4.6, 18.5 vor 18.5.4 sowie 18.6 vor 18.6.2. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

GitLab hat in GitLab CE/EE ein Problem behoben, das in allen Versionen ab 17.10 vor 18.4.5, ab 18.5 vor 18.5.3 sowie ab 18.6 vor 18.6.1 bestand. Durch das Senden speziell präparierter, bösartiger JSON-Payloads konnte ein nicht authentifizierter Nutzer einen Denial-of-Service-Zustand herbeiführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf GitLab 18.4.5, 18.5.3 beziehungsweise 18.6.1 oder neuer.

In GitLab EE erlaubt eine Schwachstelle einem authentifizierten Angreifer mit bestimmten Berechtigungen, Projekt-Runner aus anderen Projekten zu übernehmen. Betroffen sind laut Hersteller alle Versionen ab 17.1 vor 18.3.5, 18.4 vor 18.4.3 sowie 18.5 vor 18.5.1. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Auf eine der bereinigten GitLab-Versionen aktualisieren.

GitLab hat laut eigenem Advisory ein Problem in GitLab CE/EE behoben, das unauthentifizierten Angreifern erlaubte, durch speziell präparierte Payloads einen Denial-of-Service-Zustand auszulösen. Betroffen sind alle Versionen ab 17.10 vor 18.3.5, 18.4 vor 18.4.3 sowie 18.5 vor 18.5.1. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

GitLab hat laut eigenem Advisory ein Problem in GitLab CE/EE behoben, das unauthentifizierten Angreifern erlaubte, durch GraphQL-Anfragen mit präparierten JSON-Payloads einen Denial-of-Service-Zustand auszulösen. Betroffen sind alle Versionen ab 11.0 vor 18.3.5, 18.4 vor 18.4.3 sowie 18.5 vor 18.5.1. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

GitLab hat in GitLab EE (Versionen 18.3 bis 18.3.4 sowie 18.4 bis 18.4.2) ein Problem behoben, durch das authentifizierte Nutzer mit schreibgeschützten API-Tokens unter bestimmten Bedingungen unautorisierte Schreiboperationen auf Vulnerability-Records durchführen konnten. Ursache waren laut Quelle falsch skopierte GraphQL-Mutationen. CVSS-Basiswert: 7.7 (Hoch).

GitLab hat ein Problem in GitLab CE/EE behoben, das betroffene Instanzen durch gezielt gestaltete GraphQL-Anfragen auf grosse Repository-Blobs unresponsive oder stark verlangsamt machen konnte. Betroffen sind alle Versionen von 13.12 bis 18.2.8, von 18.3 bis 18.3.4 sowie von 18.4 bis 18.4.2. CVSS-Basiswert: 7.5 (Hoch).

In den GraphQL-Endpunkten von GitLab EE/CE können nicht authentifizierte Nutzer die Query-Complexity-Limits umgehen, was zu Ressourcenerschöpfung und einer Dienststörung (Denial of Service) führt. Betroffen sind alle Versionen ab 11.10 vor 18.2.7, 18.3 vor 18.3.3 sowie 18.4 vor 18.4.1. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf 18.2.7, 18.3.3 bzw. 18.4.1 oder neuer einspielen.

In GitLab CE/EE wurde eine Schwachstelle entdeckt, die alle Versionen ab 14.10 vor 18.2.7, 18.3 vor 18.3.3 und 18.4 vor 18.4.1 betrifft. Ein Angreifer könnte bösartige Inhalte einschleusen, die zu einer Kontoübernahme führen können. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 18.2.7, 18.3.3 bzw. 18.4.1 oder neuer.

In GitLab CE/EE ab Version 14.10 bis vor 18.2.7, 18.3 vor 18.3.3 sowie 18.4 vor 18.4.1 können Nutzer mit der Rolle Guest auf sensible Informationen in virtuellen Registry-Konfigurationen zugreifen. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Auf eine der genannten Fix-Versionen aktualisieren.

In GitLab CE/EE besteht laut NVD in allen Versionen vor 18.2.7, in 18.3 vor 18.3.3 sowie in 18.4 vor 18.4.1 eine Schwachstelle, über die nicht authentifizierte Nutzer beim Hochladen speziell präparierter, grosser JSON-Dateien einen Denial-of-Service-Zustand auslösen können. CVSS-Basiswert: 7.5 (Hoch).

In GitLab CE/EE wurde ein Problem entdeckt, das alle Versionen ab 16.11 vor 18.1.6, 18.2 vor 18.2.6 sowie 18.3 vor 18.3.2 betrifft. Authentifizierte Benutzer könnten dadurch unbeabsichtigte interne Anfragen über Proxy-Umgebungen auslösen, indem sie manipulierte Sequenzen einschleusen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Update auf Version 18.1.6, 18.2.6 beziehungsweise 18.3.2.

In GitLab CE/EE ab Version 7.12 vor 18.1.6, 18.2 vor 18.2.6 und 18.3 vor 18.3.2 können nicht autorisierte Nutzer durch das Senden mehrerer gleichzeitiger, grosser SAML-Antworten die GitLab-Instanz für legitime Nutzer unerreichbar machen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In GitLab CE/EE wurde eine Schwachstelle entdeckt, die alle Versionen ab 18.1 vor 18.1.4 und 18.2 vor 18.2.2 betrifft. Authentifizierte Benutzer konnten durch Einschleusen von bösartigem HTML in Work-Item-Namen eine Kontoübernahme erreichen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 18.1.4 bzw. 18.2.2 oder neuer.

In GitLab CE/EE besteht in allen Versionen ab 14.2 vor 18.0.6, ab 18.1 vor 18.1.4 und ab 18.2 vor 18.2.2 eine Schwachstelle. Unter bestimmten Bedingungen kann ein Angreifer durch Einschleusen bösartiger Inhalte Aktionen im Namen anderer Nutzer ausführen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf die korrigierten GitLab-Versionen.

In GitLab CE/EE ab Version 18.2 vor 18.2.2 konnten authentifizierte Nutzer unter bestimmten Bedingungen durch Einschleusen von schädlichem HTML in die Beschreibungen von Scoped Labels ein Stored Cross-Site Scripting erreichen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf GitLab 18.2.2 oder neuer.

Eine unzureichende Eingabevalidierung im GitLab Language Server in Version 7.6.0 und später vor 7.30.0 ermöglicht die Ausführung beliebiger GraphQL-Abfragen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf GitLab Language Server 7.30.0.

In GitLab CE/EE besteht in allen Versionen ab 15.10 vor 18.0.5, 18.1 vor 18.1.3 und 18.2 vor 18.2.1 eine Schwachstelle, die unter bestimmten Umständen ein unbeabsichtigtes Rendern von Inhalten und damit Cross-Site-Scripting (XSS) ermöglichen konnte. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten GitLab-Versionen.

GitLab CE/EE ist in allen Versionen von 15.10 vor 18.0.5, 18.1 vor 18.1.3 sowie 18.2 vor 18.2.1 von einer Schwachstelle betroffen, die es einem authentifizierten Nutzer erlaubt, Cross-Site-Scripting-Angriffe durchzuführen, wenn die Instanz über bestimmte Content-Delivery-Networks ausgeliefert wird. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf die jeweils fehlerbereinigte Version (18.0.5, 18.1.3 oder 18.2.1).

Laut NVD betrifft ein Problem in GitLab CE/EE alle Versionen ab 17.11 vor 17.11.6, 18.0 vor 18.0.4 sowie 18.1 vor 18.1.2. Unter bestimmten Bedingungen konnte ein erfolgreicher Angreifer durch das Einschleusen schädlicher Inhalte Aktionen im Namen anderer Nutzer ausführen. CVSS-Basiswert: 8.7 (Hoch).

In GitLab CE/EE wurde eine Schwachstelle entdeckt, die einen CSRF-Angriff auf die GraphQL-API von GitLab ermöglicht. Dadurch können Angreifer beliebige GraphQL-Mutationen im Namen eines Opfers ausführen. Betroffen sind alle Versionen ab 16.1.0 vor 16.11.5, ab 17.0 vor 17.0.3 sowie ab 17.1.0 vor 17.1.1. CVSS-Basiswert: 8.1 (Hoch).

In GitLab EE ermöglicht eine Schwachstelle unter bestimmten Bedingungen einen Cross-Site-Scripting-Angriff sowie eine Umgehung der Content Security Policy im Browser eines Nutzers. Betroffen sind alle Versionen ab 16.6 vor 17.9.7, ab 17.10 vor 17.10.5 und ab 17.11 vor 17.11.1. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf 17.9.7, 17.10.5 bzw. 17.11.1 oder neuer.

In GitLab CE/EE wurde eine Schwachstelle entdeckt, die alle Versionen von 17.11 vor 17.11.4 und 18.0 vor 18.0.2 betrifft. Eine fehlende Autorisierungsprüfung könnte es ermöglicht haben, Compliance-Frameworks auf Projekte ausserhalb der Gruppe des jeweiligen Compliance-Frameworks anzuwenden. CVSS-Basiswert: 8.5 (Hoch).

In GitLab CE/EE wurde ein Problem entdeckt, das alle Versionen ab 17.9 vor 17.10.8, 17.11 vor 17.11.4 sowie 18.0 vor 18.0.2 betrifft. Eine unsachgemässe Ausgabekodierung in der Funktionalität des Snippet-Viewers führt zu Cross-Site-Scripting-Angriffen. CVSS-Basiswert: 8.7 (Hoch).

In GitLab CE/EE wurde ein Problem entdeckt, das alle Versionen ab 18.0 vor 18.0.2 betrifft. Unter bestimmten Bedingungen kann eine HTML-Injection auf der neuen Suchseite zu einer Kontoübernahme führen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Update auf Version 18.0.2.

In GitLab CE/EE besteht in allen Versionen von 17.7 bis vor 17.10.8, 17.11 vor 17.11.4 und 18.0 vor 18.0.2 eine Schwachstelle, die es einem Angreifer erlaubt, eine unendliche Redirect-Schleife auszulösen und dadurch einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten Fix-Versionen aktualisieren.

In GitLab EE wurde eine Schwachstelle entdeckt, die unter bestimmten Bedingungen einen Cross-Site-Scripting-Angriff und die Umgehung der Content Security Policy im Browser eines Benutzers erlaubt. Betroffen sind alle Versionen ab 16.6 vor 17.9.7, 17.10 vor 17.10.5 und 17.11 vor 17.11.1. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten GitLab-Versionen.

In GitLab CE/EE besteht in allen Versionen vor 17.10.7, 17.11 vor 17.11.3 und 18.0 vor 18.0.1 eine Schwachstelle, die es einem authentifizierten Angreifer erlaubt, durch Erschöpfung von Serverressourcen einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten Fix-Versionen aktualisieren.

In GitLab EE/CE wurde ein Problem entdeckt, das es einem Angreifer erlaubt, das Browsing-Verhalten von Nutzern nachzuverfolgen. Dies kann bis zur vollständigen Übernahme eines Nutzerkontos führen. Betroffen sind alle Versionen ab 16.6 vor 17.9.7, 17.10 vor 17.10.5 und 17.11 vor 17.11.1. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 17.9.7, 17.10.5 bzw. 17.11.1 oder neuer.

In GitLab CE/EE besteht in allen Versionen ab 17.7 vor 17.8.6, ab 17.9 vor 17.9.3 und ab 17.10 vor 17.10.1 eine Schwachstelle: Das fehlerhafte Rendern bestimmter Dateitypen führt zu Cross-Site-Scripting. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf GitLab 17.8.6, 17.9.3 oder 17.10.1.

Laut NVD betrifft ein Problem GitLab EE/CE für AppSec in allen Versionen ab 13.5.0 vor 17.8.6, 17.9 vor 17.9.3 sowie 17.10 vor 17.10.1. Bestimmte Fehlermeldungen konnten Cross-Site-Scripting-Angriffe (XSS) ermöglichen. CVSS-Basiswert: 8.7 (Hoch).

In GitLab CE/EE besteht in den Versionen 17.4 bis vor 17.8.6, 17.9 bis vor 17.9.3 sowie 17.10 bis vor 17.10.1 eine fehlerhafte Zugriffskontrolle: Ein Benutzer, der zuvor Instanz-Administrator war und danach auf eine reguläre Rolle heruntergestuft wurde, behält weiterhin erweiterte Rechte auf Gruppen und Projekte. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf die jeweils gepatchte Version (17.8.6, 17.9.3 bzw. 17.10.1) einspielen.