Разработчики GitLab выпустили срочное обновление безопасности (версия 16.0.1) для устранения критической проблемы, набравшей 10 баллов из 10 возможных по шкале оценки уязвимостей CVSS. Эксплуатация CVE-2023-2825 может привести к раскрытию конфиденциальных данных, включая код проприетарного ПО, учетные данные пользователя, токены, файлы и так далее.
Баг был обнаружен ИБ-исследователем под ником pwnie, который сообщил о проблеме через bug bounty программу HackerOne.
Сообщается, что проблема влияет на GitLab Community Edition (CE) и Enterprise Edition (EE) версии 16.0.0, но не затрагивает более старые версии. Уязвимость относится к типу обхода пути (path traversal) и позволяет неаутентифицированному злоумышленнику читать произвольные файлы на сервере, если существует вложение в общедоступном проекте, вложенном как минимум в пять групп.
Хотя подробностей о проблеме пока мало, судя по всему, она связана с тем, как GitLab управляет или резолвит пути для вложенных файлов, вложенных в несколько уровней групповой иерархии. При этом похоже, что уязвимость может быть активирована только при определенных условиях (вложение в общедоступном проекте, вложенном как минимум в пять групп), которые не используются во всех проектах GitHub.
Разработчики GitLab подчеркивают, что из-за серьезности уязвимости свежее обновление до версии 16.0.1 нужно применить безотлагательно. Более подробную информацию об ошибке опубликуют только в следующем месяце, после того как пройдет 30 дней с момента выпуска патча.
«Мы настоятельно рекомендуем, чтобы все установки, на которых запущена версия, затронутая описанными проблемами, были обновлены до последней версии как можно скорее», — говорится в официальном бюллетене безопасности.
