GitLab schließt kritische Lücke: Unauthentifizierte können beliebigen Code ausführen
GitLab CVSS 10.0 Integer Overflow issue
GitLab hat ein Notfall-Update veröffentlicht, das eine Schwachstelle mit dem maximalen CVSS-Score von 10.0 behebt. Ein Integer-Overflow im Regex-Compiler ermöglicht es nicht authentifizierten Angreifern, durch eine speziell präparierte reguläre Expression beliebigen Code auf dem GitLab-Server auszuführen. Betroffen sind alle Versionen seit 7.0; die Fixes sind in den Patch-Releases 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 enthalten. Selbstverwaltete Instanzen sollten umgehend aktualisieren.
GitLab hat ein Problem behoben, das es unter bestimmten Bedingungen einem nicht authentifizierten Benutzer ermöglicht hätte, aufgrund eines Integer-Overflows beim Kompilieren einer speziell präparierten regulären Expression beliebigen Code auf dem GitLab-Server auszuführen.