PT-2024-10153 · Gitlab · Gitlab Ce/Ee
CVE-2024-12570
·
Publicado
2024-12-12
·
Atualizado
2024-12-16
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:H/Au:S/C:C/I:C/A:P |
Nome do software vulnerável e versões afetadas
Versões 13.7 a 17.4.6 do GitLab CE/EE
Versões 17.5 a 17.5.4 do GitLab CE/EE
Versões 17.6 a 17.6.2 do GitLab CE/EE
Descrição
Foi descoberta uma vulnerabilidade no GitLab CE/EE que poderia permitir que um invasor, possuindo o
CI JOB TOKEN da vítima, obtivesse um token de sessão do GitLab pertencente à vítima. Essa vulnerabilidade está relacionada a erros na troca de contexto de privilégios. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas.Recomendações
Para as versões 13.7 a 17.4.6 do GitLab CE/EE, atualize para a versão 17.4.6 ou posterior para resolver a falha.
Para as versões 17.5 a 17.5.4 do GitLab CE/EE, atualize para a versão 17.5.4 ou posterior para resolver a falha.
Para as versões 17.6 a 17.6.2 do GitLab CE/EE, atualize para a versão 17.6.2 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao
CI JOB TOKEN para minimizar o risco de exploração.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gitlab Ce/Ee