Ngalog

**Name of the Vulnerable Software and Affected Versions** GitLab Community and Enterprise Edition versions 11.1.7 and earlier, 11.2.x through 11.2.3, 11.3.x through 11.3.0 **Description** The issue is related to Cross Site Request Forgery (CSRF) in the Slack integration for issuing slash commands. This allows for unauthorized actions to be performed. **Recommendations** For versions 11.1.7 and earlier, update to version 11.1.7 or later. For versions 11.2.x through 11.2.3, update to version 11.2.4 or later. For versions 11.3.x through 11.3.0, update to version 11.3.1 or later.

**Name of the Vulnerable Software and Affected Versions** GitLab Community and Enterprise Edition versions 11.1.7 and earlier, 11.2.x before 11.2.4, 11.3.x before 11.3.1 **Description** The issue is related to Server-Side Request Forgery (SSRF) via the Kubernetes integration. This can lead to the disclosure of a GCP service token. **Recommendations** For versions 11.1.7 and earlier, update to version 11.1.7 or later. For versions 11.2.x before 11.2.4, update to version 11.2.4 or later. For versions 11.3.x before 11.3.1, update to version 11.3.1 or later. As a temporary workaround, consider disabling the Kubernetes integration until a patch is available.

**Name of the Vulnerable Software and Affected Versions** GitLab Community and Enterprise Edition versions 11.1.0 through 11.1.7 GitLab Community and Enterprise Edition versions 11.2.x through 11.2.4 GitLab Community and Enterprise Edition versions 11.3.x through 11.3.1 **Description** An issue allows remote attackers to obtain sensitive information about issues, comments, and project titles via the events API insecure direct object reference. **Recommendations** For versions 11.1.0 through 11.1.7, update to version 11.1.7 or later. For versions 11.2.x through 11.2.4, update to version 11.2.4 or later. For versions 11.3.x through 11.3.1, update to version 11.3.1 or later.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 11.3 e posteriores **Descrição** O problema diz respeito ao endpoint de autocompletar o campo “Assignee”, que revela os membros de grupos privados. **Recomendações** Para as versões 11.3 e posteriores do GitLab CE/EE, considere restringir o acesso ao endpoint de autocompletar para o campo “Assignee” a fim de evitar a divulgação dos membros de grupos privados até que uma correção esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do GitLab EE 12.4 a 14.3.6 Versões do GitLab EE 14.4.0 a 14.4.4 Versões do GitLab EE 14.5.0 a 14.5.2 **Descrição** O problema diz respeito à falta de autorização, permitindo que um invasor acesse os modelos personalizados de projetos e grupos de um usuário. **Recomendações** Para as versões do GitLab EE 12.4 a 14.3.6, atualize para uma versão fora desse intervalo para resolver o problema. Para as versões do GitLab EE 14.4.0 a 14.4.4, atualize para uma versão fora desse intervalo para resolver o problema. Para as versões do GitLab EE 14.5.0 a 14.5.2, atualize para uma versão fora desse intervalo para resolver o problema.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 11.10 e posteriores **Descrição** A vulnerabilidade permite que um administrador de um grupo visualize o token SCIM desse grupo ao acessar um endpoint específico. **Recomendações** Para as versões 11.10 e posteriores do GitLab CE/EE, considere restringir o acesso ao endpoint específico que expõe o token SCIM até que uma correção esteja disponível. Como solução alternativa temporária, considere limitar os privilégios dos administradores de grupo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: GitLab CE/EE versões 11.11 e posteriores Descrição: A vulnerabilidade permite que um invasor contorne a configuração para desativar a importação de repositórios por URL, realizando uma chamada de API maliciosa. Isso afeta instâncias do GitLab CE/EE nas quais essa configuração está ativada. Recomendações: Para as versões 11.11 e posteriores do GitLab CE/EE, considere desativar totalmente o recurso de importação de repositório por URL até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso ao endpoint da API usado para a chamada de API maliciosa, a fim de minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: GitLab CE/EE versões 8.12 e posteriores Descrição: Um usuário mal-intencionado autenticado com privilégios limitados pode criar um projeto com tamanho de repositório ilimitado ao modificar valores em uma exportação de projeto. Esta vulnerabilidade afeta todas as versões do GitLab CE/EE a partir da versão 8.12. Recomendações: Para as versões 8.12 e posteriores do GitLab CE/EE, atualize para uma versão que inclua uma correção para este problema, a fim de impedir que usuários com privilégios limitados criem projetos com tamanho de repositório ilimitado.

**Nome do software vulnerável e versões afetadas: Versões 11.5 e posteriores do GitLab Descrição: O problema está relacionado à validação insuficiente dos parâmetros de autenticação no GitLab Pages, permitindo que um invasor roube o token de API da vítima caso ela clique em um link criado com intenção maliciosa. Recomendações: Para as versões 11.5 e posteriores do GitLab, atualize para uma versão que inclua a correção para este problema, a fim de evitar o roubo do token de API. Como solução temporária, considere restringir o acesso ao GitLab Pages até que o problema seja resolvido. Evite clicar em links suspeitos para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do GitLab anteriores à 13.1 **Descrição** Foi descoberta uma vulnerabilidade que poderia expor a atividade privada de um usuário em determinadas condições por meio da API. **Recomendações** Para versões anteriores à 13.1, atualize para a versão 13.1 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** GitLab EE/CE, versões 8.0.rc1 a 12.9 **Descrição** O problema está relacionado a uma falha de tipo Server-Side Request Forgery (SSRF) na integração com o FogBugz. SSRF é um tipo de ataque em que um invasor pode induzir um servidor a enviar solicitações a sistemas internos ou externos, o que pode levar a acesso não autorizado ou divulgação de informações. **Recomendações** Para as versões 8.0.rc1 a 12.9 do GitLab EE/CE, considere desativar a integração com o FogBugz como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao módulo FogBugz para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do GitLab EE de 11.6 a 12.8.1 **Descrição** A vulnerabilidade permite a divulgação de informações mediante o envio de uma solicitação especialmente criada para o endpoint “vulnerability feedback”, expondo potencialmente o namespace de um projeto privado. **Recomendações** Para as versões 11.6 a 12.8.1 do GitLab EE, considere restringir o acesso ao endpoint “vulnerability feedback” até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o endpoint vulnerável para minimizar o risco de divulgação de informações. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: GitLab Community e Enterprise Edition, versões 6.8 a 11.11 Descrição: Uma falha permite que os usuários contornem as restrições obrigatórias de login por meio de um provedor de autenticação externo, enviando uma solicitação especialmente criada para esse fim. Essa falha está relacionada à autorização inadequada. Recomendações: Para as versões 6.8 a 11.11 do GitLab Community e Enterprise Edition, atualize para uma versão que inclua uma correção para esta falha, a fim de impedir a contornamento das restrições obrigatórias de login do provedor de autenticação externo.

**Nome do software vulnerável e versões afetadas: GitLab Enterprise Edition, versões 10.6 a 12.0.2 Descrição: A integração do projeto GitHub no GitLab Enterprise Edition está afetada por uma vulnerabilidade SSRF, permitindo que um invasor faça solicitações a recursos da rede local devido a um controle de acesso incorreto. Recomendações: Para as versões 10.6 a 12.0.2 do GitLab Enterprise Edition, atualize para uma versão que inclua a correção para este problema, a fim de impedir a exploração da vulnerabilidade SSRF na integração do projeto GitHub.

**Nome do software vulnerável e versões afetadas** Versões 8.0 a 12.7.2 do GitLab EE **Descrição** A vulnerabilidade está relacionada a um controle de acesso incorreto. **Recomendações** Para as versões 8.0 a 12.7.2 do GitLab EE, atualize para uma versão que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 8.14 a 12.5 do GitLab EE Versão 12.4.3 do GitLab EE Versão 12.3.6 do GitLab EE **Descrição** O problema diz respeito a um controle de acesso incorreto. Após um projeto ser alterado para privado, repositórios previamente bifurcados ainda podem acessar informações sobre o projeto privado por meio da API. **Recomendações** Para as versões 8.14 a 12.5 do GitLab EE, considere restringir o acesso à API até que uma correção esteja disponível. Para a versão 12.4.3 do GitLab EE, restrinja o acesso à API para minimizar o risco de exploração. Para a versão 12.3.6 do GitLab EE, evite usar a API para acessar informações de projetos privados até que o problema seja resolvido. Como solução alternativa temporária, considere desativar o acesso à API para projetos privados até que um patch esteja disponível.

Name of the Vulnerable Software and Affected Versions: GitLab Community and Enterprise Edition versions prior to 11.4.13 GitLab Community and Enterprise Edition versions 11.5.x prior to 11.5.6 GitLab Community and Enterprise Edition versions 11.6.x prior to 11.6.1 Description: An issue was discovered that allows Server-Side Request Forgery (SSRF). Recommendations: For versions prior to 11.4.13, update to version 11.4.13 or later. For versions 11.5.x prior to 11.5.6, update to version 11.5.6 or later. For versions 11.6.x prior to 11.6.1, update to version 11.6.1 or later.

Name of the Vulnerable Software and Affected Versions: GitLab Community and Enterprise Edition versions prior to 11.4.13 GitLab Community and Enterprise Edition versions 11.5.x prior to 11.5.6 GitLab Community and Enterprise Edition versions 11.6.x prior to 11.6.1 Description: The issue is related to Incorrect Access Control. Recommendations: For GitLab Community and Enterprise Edition versions prior to 11.4.13, update to version 11.4.13 or later. For GitLab Community and Enterprise Edition versions 11.5.x prior to 11.5.6, update to version 11.5.6 or later. For GitLab Community and Enterprise Edition versions 11.6.x prior to 11.6.1, update to version 11.6.1 or later.

**Name of the Vulnerable Software and Affected Versions** GitLab CE/EE versions prior to 12.3.2 GitLab CE/EE versions prior to 12.2.6 GitLab CE/EE versions prior to 12.1.12 **Description** A authentication bypass vulnerability exists in the Salesforce login integration that could be used by an attacker to create an account that bypassed domain restrictions and email verification requirements. **Recommendations** For versions prior to 12.3.2, update to version 12.3.2 or later. For versions prior to 12.2.6, update to version 12.2.6 or later. For versions prior to 12.1.12, update to version 12.1.12 or later.

**Name of the Vulnerable Software and Affected Versions** GitLab Community and Enterprise Edition versions 11.5.8 and earlier, 11.6.x before 11.6.6, 11.7.x before 11.7.1 **Description** The issue allows information disclosure due to an authorization problem, enabling the contributed project information of a private profile to be viewed. **Recommendations** For versions 11.5.8 and earlier, update to version 11.5.8 or later. For versions 11.6.x before 11.6.6, update to version 11.6.6 or later. For versions 11.7.x before 11.7.1, update to version 11.7.1 or later.