CVE-2023-3915
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W GitLab EE zidentyfikowano problem, który dotyczy wszystkich wersji od 16.1 do 16.1.5, od 16.2 do 16.2.5 oraz od 16.3 do 16.3.1. Użytkownik zewnętrzny posiadający rolę właściciela w grupie może zwiększyć swoje uprawnienia, tworząc konto serwisowe w tej grupie.
Ocena ryzyka
Zagrożenie polega na tym, że użytkownicy zewnętrzni mogą uzyskać dostęp do wewnętrznych projektów, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację GitLab EE do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością oraz ograniczenie przydzielania ról właściciela użytkownikom zewnętrznym.
Oryginalny opis (angielski, źródło NVD)
An issue has been discovered in GitLab EE affecting all versions starting from 16.1 before 16.1.5, all versions starting from 16.2 before 16.2.5, all versions starting from 16.3 before 16.3.1. If an external user is given an owner role on any group, that external user may escalate their privileges on the instance by creating a service account in that group. This service account is not classified as external and may be used to access internal projects.