CVE-2016-9086
Açıklama
GitLab 8.9.x ve üzeri sürümler, GitLab'ın "import/export project" özelliğinde kritik bir güvenlik açığı içermektedir. GitLab 8.9 ile eklenen bu özellik, bir kullanıcının projelerini dışa aktarmasına ve ardından şerit arşiv dosyaları (tar) olarak yeniden içe aktarmasına olanak tanır. 8.13.0 öncesindeki tüm GitLab sürümleri bu özelliği yalnızca yöneticilerle sınırlandırmıştı. 8.13.0 sürümüyle birlikte bu özellik tüm kullanıcıların erişimine açılmıştır. Bu özellik, kullanıcı tarafından sağlanan arşivlerdeki sembolik bağlantıları uygun şekilde kontrol etmemekteydi ve bu nedenle kimliği doğrulanmış bir kullanıcının, GitLab servis hesabının erişebildiği herhangi bir dosyanın içeriğini alması mümkündü. Buna, GitLab servisinin kullanıcıları doğrulamak için kullandığı gizli belirteçleri içeren hassas dosyalar da dahildir. GitLab CE ve EE 8.13.0 ile 8.13.2, 8.12.0 ile 8.12.7, 8.11.0 ile 8.11.10, 8.10.0 ile 8.10.12 ve 8.9.0 ile 8.9.11 arasındaki sürümler etkilenmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitlab gitlab | 8.9.0, 8.9.1, 8.9.2, 8.9.3, 8.9.4, 8.9.5, 8.9.6, 8.9.7, 8.9.8, 8.9.9, 8.9.10, 8.9.11, 8.10.0, 8.10.1, 8.10.2, 8.10.3, 8.10.4, 8.10.5, 8.10.6, 8.10.7, 8.10.8, 8.10.9, 8.10.10, 8.10.11, 8.10.12, 8.11.0, 8.11.1, 8.11.2, 8.11.3, 8.11.4, 8.11.5, 8.11.6, 8.11.7, 8.11.8, 8.11.9, 8.12.0, 8.12.1, 8.12.2, 8.12.3, 8.12.4, 8.12.5, 8.12.6, 8.12.7, 8.13.0, 8.13.1, 8.13.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.