CVE-2021-21411

OAuth2-Proxy, Google, Github veya diğer sağlayıcılar ile kimlik doğrulama sağlayan açık kaynaklı bir ters vekil sunucudur (reverse proxy). GitLab sağlayıcısındaki grup tabanlı yetkilendirme için kullanılan `--gitlab-group` bayrağı v7.0.0 sürümünde çalışmayı durdurmuştur. Bayrak ayarları ne olursa olsun, yetkilendirme kısıtlanmamıştır. Ek olarak, kimliği doğrulanmış tüm kullanıcılara, `--gitlab-group` kısmında tanımlanan gruplar yeni `X-Forwarded-Groups` başlığı eklenerek üst akış uygulamasına iletilmiştir. #630 kapsamında GitLab proje tabanlı yetkilendirme desteği eklenirken, kullanıcı oturumunun gruplar alanının, bireysel kullanıcının grup üyeliğini GitLab Userinfo uç noktasından çekmek yerine `--gitlab-group` yapılandırma girişleriyle doldurulduğu bir hata oluşmuştur. Oturum grupları, yetkilendirme için izin verilen gruplarla karşılaştırıldığında, her iki liste de aynı verilerle doldurulduğu için hatalı şekilde eşleşmiş ve böylece yetkilendirmeye izin verilmiştir. Bu durum, yetkilendirme kısıtlamaları için grup üyeliğine güvenen GitLab Sağlayıcı kullanıcılarını etkilemektedir. GitLab ortamınızdaki kimliği doğrulanmış herhangi bir kullanıcı, `--gitlab-group` üyelik kısıtlamalarına bakılmaksızın uygulamalarınıza erişebilir. Bu sorun v7.1.0 sürümünde düzeltilmiştir. Grup üyeliği hatası için bir geçici çözüm bulunmamaktadır. Ancak, grup yerine proje üyeliğini yetkilendirme kontrolleri olarak kullanmak için `--gitlab-project` ayarlanabilir; bu özellik bozulmamıştır.