-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitLab
Advisory ID     : NCSC-2025-0377
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2024-9183, CVE-2025-6195, CVE-2025-7449,
                  CVE-2025-12571, CVE-2025-12653, CVE-2025-13611
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Authentication Bypass by Spoofing
                  Direct Request ('Forced Browsing')
                  Insertion of Sensitive Information into Log File
                  Allocation of Resources Without Limits or Throttling
Uitgiftedatum   : 20251127
Toepassing      : GitLab Community Edition, Enterprise Edition
Versie(s)       :
Platform(s)     :

Beschrijving
   GitLab heeft kwetsbaarheden verholpen in zijn Community Edition (CE)
   en Enterprise Edition (EE) versies.

   De kwetsbaarheden omvatten onder andere de mogelijkheid voor niet-
   geauthenticeerde gebruikers om Denial of Service (DoS) condities te
   veroorzaken door het indienen van kwaadaardige JSON-verzoeken.
   Daarnaast konden niet-geauthenticeerde gebruikers zich aansluiten bij
   willekeurige organisaties door verzoekheaders te wijzigen, wat leidde
   tot ongeautoriseerde toegang tot organisatorische middelen.
   Geauthenticeerde gebruikers konden ook ongeautoriseerde toegang
   krijgen tot gevoelige tokens uit bepaalde logs, wat verdere
   exploitatie mogelijk maakte. Bovendien konden geauthenticeerde
   gebruikers met specifieke rechten een Denial of Service-conditie
   veroorzaken via HTTP-responsverwerking. Tot slot was er een risico op
   ongeautoriseerde toegang tot beveiligingsrapportinformatie in
   bepaalde configuraties. Deze kwetsbaarheden vereisten onmiddellijke
   aandacht van de leverancier om de integriteit en beschikbaarheid van
   de getroffen systemen te waarborgen.

Mogelijke oplossingen
   GitLab heeft updates uitgebracht om de kwetsbaarheden te verhelpen.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://about.gitlab.com/releases/2025/11/26/patch-release-
      gitlab-18-6-1-released/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=gc3Y
-----END PGP SIGNATURE-----