PT-2024-1901 · Gitlab · Gitlab Ce/Ee+1
Drew Blessing
·
Publicado
2024-02-15
·
Atualizado
2024-10-03
·
CVE-2024-1525
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
GitLab CE/EE versões 16.1 a 16.7.5
GitLab CE/EE versões 16.8 a 16.8.2
GitLab CE/EE versões 16.9 a 16.9.0
Descrição
Foi descoberta uma vulnerabilidade que afeta o GitLab CE/EE, na qual, sob certas condições específicas, um usuário LDAP pode ser capaz de redefinir sua senha usando seu endereço de e-mail secundário verificado e fazer login por meio de autenticação direta com a senha redefinida, contornando o LDAP. Isso está relacionado a restrições de acesso insuficientes na implementação da autenticação LDAP. A vulnerabilidade pode permitir que um invasor remoto redefina a senha de um usuário arbitrário e obtenha acesso ao sistema.
Recomendações
Para as versões 16.1 a 16.7.5 do GitLab CE/EE, atualize para a versão 16.7.6 ou posterior.
Para as versões 16.8 a 16.8.2 do GitLab CE/EE, atualize para a versão 16.8.3 ou posterior.
Para as versões 16.9 a 16.9.0 do GitLab CE/EE, atualize para a versão 16.9.1 ou posterior.
Exploit
Correção
Improper Access Control
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gitlab
Gitlab Ce/Ee