17 Januari 2024
Samenvatting
Vorige week heeft GitLab de release van nieuwe versies voor GitLab Community Edition (CE) en Enterprise Edition (EE) gepubliceerd, waarin een aantal belangrijke security fixes voorkomen. Eén kritieke account takeover vulnerability wordt opgelost met deze release, waarvoor al proof of concepts circuleren en waarbij exploitatie gemakkelijk is easy.
CVE-2023-7028 – Account Takeover via wachtwoord reset zonder gebruikersinteractie. E-mails voor het opnieuw instellen van het wachtwoord van een gebruikersaccount kunnen worden verstuurd naar een niet-geverifieerd e-mailadres. Aanvallers kunnen ook het standaard e-mailadres van de administrator gebruiken. CVSS 3.1: 10.0 (Critical)
CVE-2023-4812 – Omzeil CODEOWNERS goedkeuring verwijderen. De vereiste CODEOWNERS goedkeuring zou omzeild kunnen worden door wijzigingen toe te voegen aan een eerder goedgekeurde merge request. CVSS 3.1: 7.6 (High)
CVE-2023-5356 – Een aanvaller kan Slack/Mattermost integraties misbruiken om slash commando’s uit te voeren las een andere gebruiker. Door onjuiste autorisatiecontroles kan een gebruiker misbruik maken van Slack/Mattermost integraties om slash commando’s als een andere gebruiker uit te voeren. CVSS 3.1: 7.3 (High)
CVE-2023-6955 – Workspaces kunnen aangemaakt worden onder een andere root namespace. Er bestaat een kwetsbaarheid voor onjuiste toegangscontrole in GitLab Remote Development, waardoor een aanvaller in de ene groep een werkruimte kan creëren die is gekoppeld aan een agent uit een andere groep. CVSS 3.1: 6.6 (Medium)
CVE-2023-2030 – Commit signature validatie negeert headers na signature. Een aanvaller kan mogelijk de metagegevens van ondertekende commits wijzigen. CVSS 3.1: 3.5 (Low)
Getroffen Versies
- 16.1 tot 16.1.5
- 16.2 tot 16.2.8
- 16.3 tot 16.3.6
- 16.4 tot 16.4.4
- 16.5 tot 16.5.5
- 16.6 tot 16.6.3
- 16.7 tot 16.7.1
De bovenstaande versies zijn van toepassing op GitLab zelfbeheerde instanties.
Aanbevelingen
Omwille van de ernst van deze kwetsbaarheden worden organisaties sterk aangeraden om alle GitLab-installaties onmiddellijk te upgraden naar de nieuwste versies. GitLab.com draait al de gepatchte versie.
Bovendien worden gebruikers aanbevolen om tweefactorauthenticatie (2FA) in te schakelen voor alle GitLab-accounts, vooral voor gebruikers met verhoogde rechten (bijvoorbeeld beheerdersaccounts).