CVE-2023-3950
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W GitLab EE wystąpił problem z ujawnieniem informacji, który dotyczy wszystkich wersji od 16.2 do 16.2.5 oraz od 16.3 do 16.3.1. Inni właściciele grup mogli zobaczyć klucz publiczny dla celu strumieniowania zdarzeń audytowych Google Cloud Logging, jeśli był on skonfigurowany.
Ocena ryzyka
Ujawnienie klucza publicznego może prowadzić do nieautoryzowanego dostępu do danych audytowych, co stwarza ryzyko dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację GitLab EE do wersji 16.2.5 lub 16.3.1, aby zniwelować ryzyko związane z ujawnieniem klucza publicznego.
Oryginalny opis (angielski, źródło NVD)
An information disclosure issue in GitLab EE affecting all versions from 16.2 prior to 16.2.5, and 16.3 prior to 16.3.1 allowed other Group Owners to see the Public Key for a Google Cloud Logging audit event streaming destination, if configured. Owners can now only write the key, not read it.