Un nuevo aviso de seguridad
Múltiples vulnerabilidades en GitLab
Fecha12/01/2024
Importancia5 - Crítica
Recursos Afectados
Las siguientes versiónes de GitLab están afectadas:
- 16.1 anterior a 16.1.5;
- 16.2 anterior a 16.2.8;
- 16.3 anterior a 16.3.6;
- 16.4 anterior a 16.4.4;
- 16.5 anterior a 16.5.6;
- 16.6 anterior a 16.6.4;
- 16.7 anterior a 16.7.2.
Descripción
Asterion04 ha reportado 5 vulnerabilidades: 2 de severidad crítica, una de severidad alta, una de severidad media y una de severidad baja.
La explotación de las vulnerabilidades críticas podría permitir a un atacante la adquisición de una cuenta de usuario mediante restablecimiento de contraseña sin interacción del usuario, o abusar de las integraciones Slack/Mattermost para ejecutar comandos de barra como otro usuario.
Solución
Las vulnerabilidades han sido resultas en las versiones 16.7.2, 16.6.4 y 16.5.6.
Detalle
Las vulnerabilidades de severidad crítica cuentan con la siguiente descripción:
- Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones de 16.1, anterior a 16.1.6, 16.2, anterior a 16.2.9, 16.3 anterior a 16.3.7, 16.4 anterior a 16.4.5, 16.5 anterior a 16.5.6, 16.6 anterior a 16.6.4 y 16.7 anterior a 16.7.2 en el que los correos electrónicos de restablecimiento de contraseña de cuenta de usuario podrían enviarse a una dirección de correo electrónico no verificada. Se ha asignado el identificador CVE-2023-7028 para esta vulnerabilidad.
- Las comprobaciones de autorización incorrectas en GitLab CE/EE de todas las versiones, a partir de la 8.13, antes de la 16.5.6, todas las versiones a partir de la 16.6 antes de la 16.6.4, y todas las versiones a partir de la 16.7, antes de la 16.7.2, permiten a un usuario abusar de las integraciones Slack/Mattermost para ejecutar comandos de barra como otro usuario. Se ha asignado el identificador CVE-2023-5356 para esta vulnerabilidad.
La información del resto de CVE de severidad no crítica se puede consultar en las referencias.