Уязвимость TOCTOU в GitLab (CVE-2024-11222): разработчик может действовать от имени другого пользователя

Компания GitLab выпустила исправления для уязвимости CVE-2024-11222, связанной с состоянием гонки (race condition) при создании пайплайнов. Проблема относится к классу Time-of-check Time-of-use (TOCTOU), когда состояние ресурса проверяется в один момент, а используется — в другой, что создает окно для нелегитимных действий.

Подробности

Уязвимость затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) в следующих диапазонах версий:

• все версии от 13.0 до 19.1.8 (не включая 19.1.8);
• версии 19.2 — до 19.2.6;
• версии 19.3 — до 19.3.2.

Согласно описанию, при определенных условиях пользователь с ролью разработчика (developer) мог выполнять действия в контексте коммита merge request, принадлежащего другому пользователю. Причиной стала ошибка синхронизации при создании пайплайна: из-за состояния гонки между проверкой прав и фактическим использованием ресурса возникает окно, в котором злоумышленник может повлиять на чужой MR-коммит. Оценка по CVSS v3 составляет 6.4 — средний уровень критичности. Это означает, что эксплуатация требует определенных условий и привилегий (наличие роли developer), но способна привести к нарушению целостности и подмене авторства действий в репозитории.

Что делать

GitLab уже устранил проблему в перечисленных выше версиях. Рекомендуется:

• обновить GitLab CE/EE до 19.1.8, 19.2.6, 19.3.2 или более поздних выпусков в соответствующей ветке;
• если немедленное обновление невозможно, ограничить круг пользователей с ролью developer и внимательно проверять историю пайплайнов и коммитов в merge requests;
• провести аудит активности в репозиториях: обратить внимание на неожиданные изменения в MR и запуски пайплайнов, инициированные не их авторами;
• включить обязательные проверки (approvals) и защиту веток, чтобы снизить влияние возможной подмены действий.

Итог: CVE-2024-11222 — умеренно опасная, но требующая внимания уязвимость в GitLab, связанная с гонкой при создании пайплайнов. Она не дает злоумышленнику полного контроля над системой, однако позволяет разработчику действовать в контексте чужого merge request. Единственная надежная мера — обновление до исправленных версий; дополнительные ограничения прав и аудит помогут снизить риски до установки патча.

Источник: CVE Project (cvelistV5)