PT-2020-9365 · Gitlab · Gitlab Ce/Ee+1

Ashish_R_Padelkar · Publicado 2020-03-10 · Atualizado 2020-08-24 · CVE-2019-13011

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

GitLab Enterprise Edition, versões 8.11.0 a 12.0.2

Descrição:

Foi identificada uma falha que permite que um usuário com acesso a um projeto, mas não ao seu repositório, crie uma lista de nomes de modelos de solicitações de mesclagem por meio de um ataque de força bruta. A falha apresenta complexidade algorítmica excessiva.

Recomendações:

Para as versões 8.11.0 a 12.0.2 do GitLab Enterprise Edition, considere restringir o acesso aos nomes de modelos de solicitações de mesclagem para evitar ataques de força bruta até que uma correção esteja disponível.

Como solução alternativa temporária, considere implementar limitação de taxa nos pontos de extremidade da API relacionados a solicitações de mesclagem para minimizar o risco de exploração.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2019-13011

Produtos afetados

Gitlab

Gitlab Ce/Ee

Referências · 5

• https://about.gitlab.com/releases/2019/07/03/security-release-gitlab-12-dot-0-dot-3-released · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2019-13011 · Aviso do Fabricante
• https://t.me/cvenotify/1480 · Publicação no Telegram
• https://about.gitlab.com/blog/categories/releases · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-13011 · Nota de Segurança