【严重】GitLab 账号接管漏洞

漏洞描述

GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。

GitLab CE/EE中支持用户通过辅助电子邮件地址重置密码,默认情况允许通过未经确认电子邮件重置密码。攻击者可以利用此漏洞将用户帐户密码重置电子邮件发送任意未经验证的电子邮件地址,导致用户帐户被接管。

漏洞名称 GitLab 账号接管漏洞
漏洞类型 从非可信控制范围包含功能例程
发现时间 2024/1/12
漏洞影响广度 广
MPS编号 MPS-vbt9-zgx1
CVE编号 CVE-2023-7028
CNVD编号 -

影响范围

gitlab@[16.1, 16.1.6)

gitlab@[16.2, 16.2.9)

gitlab@[16.3, 16.3.7)

gitlab@[16.4, 16.4.5)

gitlab@[16.5, 16.5.6)

gitlab@[16.6, 16.6.4)

gitlab@[16.7, 16.7.2)

gitlab@影响所有版本

修复方案

将 gitlab 升级至 16.4.5 及以上版本

将 gitlab 升级至 16.5.6 及以上版本

将 gitlab 升级至 16.6.4 及以上版本

将组件 gitlab 升级至 16.7.2 及以上版本

将组件 gitlab 升级至 16.1.6 及以上版本

将组件 gitlab 升级至 16.2.9 及以上版本

将组件 gitlab 升级至 16.3.7 及以上版本

参考链接

OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

User password reset accepts multiple email addresses (44deb06e) · Commits · GitLab.org / GitLab · GitLab

GitLab Critical Security Release: 16.7.2, 16.6.4, 16.5.6|GitLab

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司,核心团队来自于百度、华为、乌云等企业,旗下的 MurphySec 软件供应链安全平台提供资产识别管理、风险检测、安全控制、一键修复等能力。

免费漏洞情报订阅

平台会通过实时监控多方渠道并进行人工分析,一手情报订阅地址:OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

免费代码安全检测工具

丰富的漏洞库及强大的检测能力,杜绝漏洞带来的风险隐患,工具地址: 墨菲安全 | 为您提供专业的软件供应链安全管理

开源项目

核心检测能力已开源,欢迎各位同学 Star⭐️

https://github.com/murphysecurity/murphysec/?sf=qbyj

相关推荐
00后程序员张1 小时前
免Mac上架实战:全平台iOS App上架流程的工具协作经验
websocket·网络协议·tcp/ip·http·网络安全·https·udp
unable code6 小时前
攻防世界-Reverse-insanity
网络安全·ctf·reverse
亚里士多没有德7756 小时前
【CTF-Web环境搭建】kali
网络安全
安全系统学习13 小时前
网络安全之SQL RCE漏洞
安全·web安全·网络安全·渗透测试
2501_9159214316 小时前
iOS IPA 混淆实测分析:从逆向视角验证加固效果与防护流程
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_9159184116 小时前
打造可观测的 iOS CICD 流程:调试、追踪与质量保障全记录
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_9159090620 小时前
调试 WebView 旧资源缓存问题:一次从偶发到复现的实战经历
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_915921431 天前
请求未达服务端?iOS端HTTPS链路异常的多工具抓包排查记录
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_916007471 天前
iOS 接口频繁请求导致流量激增?抓包分析定位与修复全流程
websocket·网络协议·tcp/ip·http·网络安全·https·udp
学习溢出1 天前
【网络安全】持续监控CI/CD:自动发现威胁与IoCs,软件供应链安全
运维·安全·web安全·网络安全·ci/cd