PT-2024-5512 · Gitlab · Gitlab Ce/Ee+1
CVE-2024-2800
·
Publicado
2024-08-07
·
Atualizado
2024-09-18
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
GitLab EE/CE versões 11.3 a 17.0.5
GitLab EE/CE versões 17.1 a 17.1.3
GitLab EE/CE versões 17.2 a 17.2.1
Descrição
O problema está relacionado a uma falha de ReDoS no componente RefMatcher ao comparar nomes de ramificações usando caracteres curinga, permitindo a negação de serviço por meio de backtracking de Regex. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. A falha está associada ao consumo descontrolado de recursos devido à comparação incorreta de nomes de ramificações com caracteres curinga.
Recomendações
Para as versões 11.3 a 17.0.5, atualize para a versão 17.0.6 ou posterior.
Para as versões 17.1 a 17.1.3, atualize para a versão 17.1.4 ou posterior.
Para as versões 17.2 a 17.2.1, atualize para a versão 17.2.2 ou posterior.
Como solução alternativa temporária, considere restringir o uso de curingas em nomes de ramificações para minimizar o risco de exploração.
Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gitlab
Gitlab Ce/Ee