DSA-4206-1 gitlab -- обновление безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

gitlab (any)

В Gitlab, платформе для совместной работы над кодом, было обнаружено
несколько уязвимостей:

CVE-2017-0920
    Было обнаружено, что отсутствие проверки запросов слияния позволяет
    пользователям видеть имена закрытых проектов, что приводит к раскрытию
    информации.
CVE-2018-8971
    Было обнаружено, что интеграция Auth0 реализована
    неправильно.

В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 8.13.11+dfsg1-8+deb9u2. Для исправления CVE-2018-8971 требуется обновить пакет ruby-omniauth-auth0
до версии 2.0.0-0+deb9u1.
Рекомендуется обновить пакеты gitlab.
С подробным статусом поддержки безопасности gitlab можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/gitlab">https://security-tracker.debian.org/tracker/gitlab">https://security-tracker.debian.org/tracker/gitlab

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
gitlab - 8.13.11+dfsg1-8+deb9u2

http://www.debian.org/security/dsa-4206/

Источник: CVE
Наименование: CVE-2018-8971
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8971

Источник: CVE
Наименование: CVE-2017-0920
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0920