Krytyczna podatność w GitLab CE/EE umożliwia wysłanie e-maila resetującego hasło na niezweryfikowany adres e-mail, co pozwala atakującemu przejąć kontrolę nad kontem ofiary. Podatność otrzymała maksymalny wynik CVSS 10.0 i jest aktywnie wykorzystywana.
▸ Pokaż oryginał (EN)
An issue has been discovered in GitLab CE/EE affecting all versions from 16.1 prior to 16.1.6, 16.2 prior to 16.2.9, 16.3 prior to 16.3.7, 16.4 prior to 16.4.5, 16.5 prior to 16.5.6, 16.6 prior to 16.6.4, and 16.7 prior to 16.7.2 in which user account password reset emails could be delivered to an unverified email address.
Błąd w mechanizmie resetowania hasła (CWE-640) powoduje, że GitLab wysyła wiadomość z linkiem do zmiany hasła na adres e-mail, który nie przeszedł procesu weryfikacji. Atakujący może zainicjować procedurę resetu hasła dla dowolnego konta, podając kontrolowany przez siebie niezweryfikowany adres e-mail. Po otrzymaniu linku resetującego atakujący ustawia nowe hasło i w pełni przejmuje konto ofiary bez konieczności jakiejkolwiek wcześniejszej autoryzacji.
Atakujący może całkowicie przejąć konto dowolnego użytkownika GitLab, uzyskując dostęp do repozytoriów, potoków CI/CD, sekretów i danych konfiguracyjnych, co może prowadzić do kompromitacji całego łańcucha dostaw oprogramowania.
Należy niezwłocznie zaktualizować GitLab CE/EE do wersji: 16.1.6, 16.2.9, 16.3.7, 16.4.5, 16.5.6, 16.6.4 lub 16.7.2 (albo nowszych). Zaleca się również przegląd logów pod kątem nieautoryzowanych resetowań haseł oraz wymuszenie ponownego logowania wszystkich użytkowników.
GitLab CE i EE w wersjach: 16.1 przed 16.1.6, 16.2 przed 16.2.9, 16.3 przed 16.3.7, 16.4 przed 16.4.5, 16.5 przed 16.5.6, 16.6 przed 16.6.4 oraz 16.7 przed 16.7.2
Podatność figuruje na liście CISA KEV jako aktywnie exploitowana. Dotyczy środowisk CI/CD, co czyni ją szczególnie niebezpieczną z perspektywy bezpieczeństwa łańcucha dostaw oprogramowania.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NGitLab
APPGitlab16.1.0 – 16.1.6 (bez)16.2.0 – 16.2.9 (bez)16.3.0 – 16.3.7 (bez)16.4.0 – 16.4.5 (bez)16.5.0 – 16.5.6 (bez)16.6.0 – 16.6.4 (bez)16.7.0 – 16.7.2 (bez)
CISA KEV — szczegółyi
- Dostawcai
- GitLab ↗
- Produkti
- GitLab CE/EE
- Data dodania do KEVi
- 1 maja 2024
- Termin remediation (USA)i
- 22 maja 2024(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami dostawcy lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
GitLab Community i Enterprise Editions zawierają lukę w kontroli dostępu. Pozwala to atakującemu na wyzwolenie wysłania wiadomości e-mail resetujących hasło na niezweryfikowany adres e-mail, aby ostatecznie ułatwić przejęcie konta.
▸ Pokaż oryginał (EN)
GitLab Community and Enterprise Editions contain an improper access control vulnerability. This allows an attacker to trigger password reset emails to be sent to an unverified email address to ultimately facilitate an account takeover.
Powiązane podatności
An issue has been discovered in GitLab CE/EE affecting all versions starting from 11.9. GitLab was not properl...
GitLab CE/EE: uruchomienie pipeline jako inny użytkownik (privilege escalation)
GitLab EE: uruchamianie pipeline CI/CD na dowolnych gałęziach bez autoryzacji
GitLab CE/EE — uruchomienie pipeline jako dowolny użytkownik (CWE-290)
Ruby-SAML: pominięcie weryfikacji podpisu odpowiedzi SAML — Auth Bypass