Уязвимости GitLab: CVE, БДУ ФСТЭК и мониторинг
Уязвимости GitLab из реестра БДУ ФСТЭК: 461 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости GitLab из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 461.
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с недостаточной проверкой входных данных, позволяющая нарушителю выполнить произвольные команды
Уязвимость компонента requestBodyUploader прикладного программного интерфейса программной платформы на базе git для совместной работы над кодом GitLab, позволяющая нарушителю получить несанкционирован
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, вызванная возможностью отправки письма с кодом для сброса пароля на неподтверждённые email-адреса, позволяющая нару
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с целочисленным переполнением, позволяющая нарушителю выполнить произвольный код
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с недостаточной проверкой поступающих запросов, позволяющая нарушителю получить доступ к конфиденциальным
Уязвимость компонента CI Lint API программной платформы на базе git для совместной работы над кодом GitLab, позволяющая нарушителю осуществить SSRF-атаку
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю проводить межсайтовые сценарны
Уязвимость функции импорта из GitHub программной платформы на базе git для совместной работы над кодом GitLab, позволяющая нарушителю выполнить произвольный код
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю проводить межсайтовые сценарны
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с неправильным присвоением разрешений для критичного ресурса, позволяющая нарушителю выполнить произвольн
Почему важно отслеживать уязвимости GitLab
GitLab CE/EE — платформа DevOps, содержащая исходный код, CI/CD-пайплайны, секреты и ключи развёртывания. Компрометация GitLab даёт доступ ко всей кодовой базе и инфраструктуре деплоя. Типовые CVE: RCE через обработку Markdown, SSRF через webhook-интеграции, обход авторизации через API. GitLab выпускает ежемесячные security releases. Среди уязвимостей GitLab в БДУ ФСТЭК — 15 с KEV-статусом (подтверждённая эксплуатация). Для организаций, размещающих GitLab on-premise, мониторинг CVE критичен: устаревший GitLab на периметре — прямой вектор проникновения в инфраструктуру разработки.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей GitLab
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
