Data di creazione: 12/01/2024 10:07

Sintesi

Rilasciati aggiornamenti di sicurezza che risolvono diverse vulnerabilità, di cui 2 con gravità “critica” e una con gravità “alta”, in GitLab Community Edition (CE) e Enterprise Edition (EE).

Note (aggiornamento del 02/05/2024): la vulnerabilità CVE-2023-7028 risulta essere sfruttata attivamente in rete.

Note (aggiornamento del 25/01/2024): un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2023-7028 risulta disponibile in rete.

Tipologia

• Authentication Bypass
• Arbitrary Code Execution
• Security Restrictions Bypass

Prodotti e/o versioni affette

GitLab Community Edition (CE) e Enterprise Edition (EE)

• 16.1.x, versioni precedenti alla 16.1.5
• 16.2.x, versioni precedenti alla 16.2.8
• 16.3.x, versioni precedenti alla 16.3.6
• 16.4.x, versioni precedenti alla 16.4.4
• 16.5.x, versioni precedenti alla 16.5.6
• 16.6.x, versioni precedenti alla 16.6.4
• 16.7.x, versioni precedenti alla 16.7.2

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti GitLab alla versione più recente disponibile.

Identificatori univoci vulnerabilità

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “alta” e “critica”:

CVE-2023-7028

CVE-2023-5356

CVE-2023-4812

Riferimenti

https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.