GitLab Sicherheitslücken führen zur Ausführung von CI/CD-Pipelines

Vor kurzem wurde ein Sicherheitsupdate für eine GitLab-Sicherheitslücke veröffentlicht, die, wenn sie ausgenutzt wird, zur Ausführung von CI/CD-Pipelines. Abgesehen von dieser GitLab-Sicherheitslückebehebt das Update acht weitere Sicherheitslücken. In diesem Artikel befassen wir uns mit den Details der Schwachstelle, ihrem Schweregrad und den Folgen einer möglichen Ausnutzung. Fangen wir an!

Die GitLab-Schwachstelle Aufgedeckt

Die jüngste GitLab-Sicherheitslücke wird unter der Bezeichnung CVE-2024-9164 geführt. Diese Schwachstelle hat einen kritischen Schwachstellen-Schweregrad (CVSS) von 9,6 von 10. GitLab hat in einem Advisory Details zu den betroffenen Versionen bekannt gegeben, und zwar erklärt dass:

"In GitLab EE wurde ein Problem entdeckt, das alle Versionen ab 12.5 vor 17.2.9, ab 17.3 vor 17.3.5 und ab 17.4 vor 17.4.2 betrifft und das die Ausführung von Pipelines auf beliebigen Zweigen ermöglicht."

In Anbetracht der Schwere der Schwachstelle müssen diejenigen, die sich schützen wollen, CI/CD-Pipelines verstehen. Bei diesen Pipelines handelt es sich im Grunde um automatisierte Prozesse, die eine Vielzahl unterschiedlicher Aufgaben ausführen. Diese Aufgaben beziehen sich auf die Codeerstellung, das Testen und die Bereitstellung.

Es ist erwähnenswert, dass diese Aufgaben nur für Benutzer mit der erforderlichen Berechtigung verfügbar sind. Ein Bedrohungsakteur, der in der Lage ist, Sicherheitsprotokolle auszunutzen und die Kontrolle über solche Aufgaben zu übernehmen, kann Code ausführen und Zugang zu vertraulichen Informationen erhalten. 

Zusätzliche GitLab-Sicherheitslücken 

Wie aus jüngsten Berichten über die GitLab-Sicherheitslückewurden insgesamt acht Schwachstellen identifiziert. Von den sieben verbleibenden Schwachstellen werden vier als hochgradig schwerwiegend eingestuft, zwei als mittelschwer und eine als weniger schwerwiegend. Nachstehend finden Sie eine detaillierte Aufschlüsselung der Schwachstellen:

Sicherheit vor potenziellen Sicherheitslücken 

Was die Sicherheitspraktiken anbelangt, so müssen die Benutzer sicherstellen, dass sie auf die neueste Version aktualisiert werden, da dies dazu beitragen kann, die GitLab-Schwachstelle zu entschärfen und Schutz zu gewährleisten. Es ist erwähnenswert, dass die Offenlegung dieser GitLab-Sicherheitslücke die jüngste Ergänzung zu den Pipeline-Schwachstellen ist, die GitLab in letzter Zeit erfahren hat.

Im vergangenen Monat hat das Unternehmen eine weitere GitLab-Sicherheitslücke. Diese Schwachstelle wurde unter der Bezeichnung CVE-2024-6678 geführt und hatte einen CVSS-Wert von 9.9. Im Falle einer Ausnutzung wären Bedrohungsakteure in der Lage gewesen, Pipeline-Jobs als beliebiger Benutzer auszuführen. Vor dieser GitLab-Sicherheitslückewurden drei andere kritische Schwachstellen behoben. Zu diesen Schwachstellen gehören:

• 5009  
  • CVSS-Wert: 9.6.
• 5655 
  • CVSS-Wert: 9.6.
• 6385
  •  CVSS-Wert: 9.6.

Schlussfolgerung 

Zum Schutz vor der kritischen GitLab-Sicherheitslücke und anderen zu schützen, ist es unerlässlich, immer die neuesten Versionen zu verwenden. Die Ausnutzung von CI/CD-Pipelines kann schwerwiegende Folgen haben, da sie unbefugten Zugriff und Kontrolle ermöglichen. Regelmäßige Aktualisierungen und aufmerksame Sicherheitsmaßnahmen sind der Schlüssel zur Entschärfung potenzieller Sicherheitsbedrohungen in GitLab.

Zu den Quellen für diesen Beitrag gehören Artikel in Die Hacker-Nachrichten und Bleeping Computer.