GitLab 账号接管漏洞 (CVE-2023-7028)

漏洞类型 从非可信控制范围包含功能例程 发现时间 2024-01-12 漏洞等级 严重
MPS编号 MPS-vbt9-zgx1 CVE编号 CVE-2023-7028 漏洞影响广度 广

漏洞危害

OSCS 描述
GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台
GitLab CE/EE中支持用户通过辅助电子邮件地址重置密码,默认情况允许通过未经确认电子邮件重置密码。攻击者可以利用此漏洞将用户帐户密码重置电子邮件发送任意未经验证的电子邮件地址,导致用户帐户被接管。
参考链接:https://www.oscs1024.com/hd/MPS-vbt9-zgx1

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
gitlab [16.1, 16.1.6) 升级 将组件 gitlab 升级至 16.1.6 及以上版本
gitlab [16.2, 16.2.9) 升级 将组件 gitlab 升级至 16.2.9 及以上版本
gitlab [16.3, 16.3.7) 升级 将组件 gitlab 升级至 16.3.7 及以上版本
gitlab [16.4, 16.4.5) 升级 将 gitlab 升级至 16.4.5 及以上版本
gitlab [16.5, 16.5.6) 升级 将 gitlab 升级至 16.5.6 及以上版本
gitlab [16.6, 16.6.4) 升级 将 gitlab 升级至 16.6.4 及以上版本
gitlab [16.7, 16.7.2) 升级 将组件 gitlab 升级至 16.7.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-vbt9-zgx1

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-vbt9-zgx1

https://gitlab.com/gitlab-org/gitlab/-/commit/44deb06e2c8e1c1b9424fc89dec4f60c8806711a

https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/

(0)
上一篇 2024年1月12日 下午8:00
下一篇 2024年1月15日 下午12:00

相关推荐

  • SugarCRM 存在二阶PHP对象注入漏洞 (CVE-2023-35810)

    漏洞类型 代码注入 发现时间 2023/6/19 漏洞等级 高危 MPS编号 MPS-lf2x-y6h4 CVE编号 CVE-2023-35810 漏洞影响广度 一般 漏洞危害 OSCS 描述 SugarCRM 是一款开源的客户关系管理(CRM)软件。受影响版本中,由于缺少输入验证,DocuSign 模块中存在二阶 PHP 对象注入漏洞。具有管理员权限的攻击…

    2023年8月30日
    0
  • Apache IoTDB Sync Tool反序列化漏洞 (CVE-2023-51656)

    漏洞类型 反序列化 发现时间 2023-12-21 漏洞等级 中危 MPS编号 MPS-b5gs-81ux CVE编号 CVE-2023-51656 漏洞影响广度 漏洞危害 OSCS 描述 Apache IoTDB是时序数据的数据管理系统,为用户提供数据采集、存储、分析等特定服务。 在 FileLoaderManager.java 文件的 deSeriali…

    2023年12月22日
    0
  • Splunk Enterprise XSLT 远程代码执行漏洞 (CVE-2023-46214)

    漏洞类型 XPath盲注 发现时间 2023-11-21 漏洞等级 高危 MPS编号 MPS-1j9c-4oyt CVE编号 CVE-2023-46214 漏洞影响广度 一般 漏洞危害 OSCS 描述 Splunk 是一款机器数据的引擎,可用于收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据 。 Splunk 受影响版本存在任意代码执行漏…

    2023年11月21日
    0
  • curl cookie 绕过PSL限制漏洞 (CVE-2023-46218)

    漏洞类型 通过发送数据的信息暴露 发现时间 2023-12-06 漏洞等级 中危 MPS编号 MPS-vdg2-0pwf CVE编号 CVE-2023-46218 漏洞影响广度 小 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 漏洞利用 curl 的Curl_cookie_add函数中的一个混合大小写的缺陷,允许一个恶意…

    2023年12月7日
    0
  • Microsoft Windows Themes 远程代码执行漏洞(POC公开) (CVE-2023-38146)

    漏洞类型 命令注入 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-ntyd-m53q CVE编号 CVE-2023-38146 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows操作系统上,.theme文件是一种用于定义桌面主题和外观设置的文件。 Windows11 受影响版本中存在远程代码执行漏洞。当.theme文件中引用了….

    2023年9月16日
    0