GitLab 安全漏洞(CVE-2023-4378)

CVE编号

CVE-2023-4378

利用情况

暂无

补丁情况

N/A

披露时间

2023-09-01

漏洞描述

在GitLab CE/EE的所有11.8版本之前的16.1.5、所有16.2版本之前的16.2.5、所有16.3版本之前的16.3.1存在一个漏洞。在特定情况下，恶意维护者可以通过更改Sentry错误跟踪设置页面中配置的URL泄露sentry令牌。这是CVE-2022-4365的一个修复不完整造成的问题。

解决建议

"将组件 gitlab 升级至 16.2.5 及以上版本""将组件 gitlab 升级至 16.1.5 及以上版本"

参考链接
https://gitlab.com/gitlab-org/gitlab/-/issues/422134
https://hackerone.com/reports/2104591

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	gitlab	gitlab	*	From (including) 11.8.0	Up to (excluding) 16.1.5
	运行在以下环境
	应用	gitlab	gitlab	*	From (including) 16.2	Up to (excluding) 16.2.5
	运行在以下环境
	应用	gitlab	gitlab	16.3.0	-
	运行在以下环境
	系统	amazon_2	libXpm	*		Up to (excluding) 1.6.7-3.amzn2.0.4
	运行在以下环境
	系统	amazon_2023	libXpm	*		Up to (excluding) 1.7.2-3.amzn2023.0.4
	运行在以下环境
	系统	amazon_AMI	libX11	*		Up to (excluding) 3.5.10-2.12.amzn1
	运行在以下环境
	系统	debian_sid	gitlab	*		Up to (including) 16.0.8+ds1-2
	运行在以下环境
	系统	fedora_38	libXpm	*		Up to (excluding) 3.5.17-1.fc38
	运行在以下环境
	系统	fedora_39	libXpm	*		Up to (excluding) 1.8.7-1.fc39
	运行在以下环境
	系统	suse_12_SP5	libXpm4-32bit	*		Up to (excluding) 1.6.2-12.33.1

CVSS3评分 4.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

CWE-ID	漏洞类型
NVD-CWE-noinfo

Exp相关链接

- avd.aliyun.com