Kwetsbaarheid in "Import from GitHub" API endpoint

Door snel te handelen toen er een update beschikbaar was, is Gitlab een uur later geüpdatet en direct weer beschikbaar. 

Zie voor meer informatie onderstaande berichten. Mochten er nog vragen zijn, dan staan we je vanuit GX Customer Services uiteraard graag te woord. We zijn bereikbaar via de volgende kanalen:

• Schiet een ticket in via de serviceportal: https://service.gxsoftware.com/hc/nl/requests/new 
• Of stuur een mail naar: GX.CustomerServices@gxsoftware.com
• Voor dringende zaken (of gewoon een praatje) zijn we tijdens kantooruren altijd telefonisch bereikbaar via: 024-3515130 

Deze ochtend bereikte ons het bericht dat er kwetsbaarheden gevonden zijn in de GitLab Community Edition en de Gitlab Enterprise Edition. Kwaadwillenden hebben de mogelijkheid om aanvallen uit te voeren die leiden tot de volgende categorieën schade:

• Cross-Site Scripting (XSS)
• Denial-of-Service (DoS)
• Manipulatie van gegevens
• Omzeilen van authenticatie
• Omzeilen van beveiligingsmaatregel
• (Remote) code execution (Gebruikersrechten)
• Spoofing
• Toegang tot gevoelige gegevens
• Toegang tot systeemgegevens

Zie voor meer informatie: https://advisories.ncsc.nl/advisory?id=NCSC-2022-0559

Update 1 september
11:18

De kwetsbaarheid die GitLab inschat als "Critical" stelt een geauthenticeerde kwaadwillende (op afstand) in staat om middels het "Import from GitHub" API endpoint willekeurige code uit te voeren op het onderliggende systeem met de rechten van de applicatie.

Bron: https://advisories.ncsc.nl/advisory?id=NCSC-2022-0559

We onderzoeken de impact en oplossingen op dit moment.

11:30

We updaten https://gitlab-projects.gxsoftware.com/ vandaag nog tussen 12.00 en 12.30. Daarbij updaten  we naar de laatste versie. We verwachten dat https://gitlab-projects.gxsoftware.com/ ongeveer 5 minuten onbreikbaar is. Sla documenten op als je er op dit moment in aan het werken bent.

12:02

Update wordt nu gestart.

12:36

De update van https://gitlab-projects.gxsoftware.com/ is doorgevoerd en we gebruiken nu de laatste  -veilige- versie 15.3.2. Issue afgemeld.