GitLab, en yüksek önem dereceli yol geçişi açığı için kullanıcıları yamaya çağırdı

GitLab, kullanıcılarından CVE-2023-2825 olarak izlenen en yüksek önem dereceli yol geçişi açığına karşı sunucularını perşembe günü hemen yamalamalarını istedi.

Açık, s3ntago kullanıcı adını kullanan bir güvenlik araştırmacısı tarafından keşfedildi ve GitLab'ın HackerOne hata ödül programı üzerinden bildirildi. Sorun, depo commit'leri API'sindeki hatalı yol kısıtlamasından ve kimlik doğrulamanın zorunlu tutulmamasından kaynaklanıyor. Kimliği doğrulanmamış saldırganlar, belirli koşullar altında bu açığı kullanarak savunmasız sunuculardaki rastgele dosyaları okuyabiliyor.

GitLab ayrıca GraphQL abonelik serileştiricisindeki güvensiz serileştirme kaldırma zayıflığından kaynaklanan kritik CVE-2026-87719 açığını da giderdi. Bu sorun GitLab Enterprise Edition'ı etkiliyor ve Duo Chat erişimi olan kimliği doğrulanmış kullanıcıların hassas kimlik bilgilerini ve Advanced Search örnek yapılandırmalarını çalmasına izin verebiliyor.

İki sorun da GitLab Community Edition ve Enterprise Edition'ın 19.3.2, 19.2.6 ve 19.1 sürümlerinde düzeltildi. GitLab, kendi yönettikleri kurulumları bu sürümlerden birine hemen yükseltmelerini şiddetle öneriyor.

GitLab.com zaten yamalı sürümü kullanıyor. GitLab Dedicated müşterilerinin işlem yapması gerekmiyor.