CVE-2023-4002
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W GitLab EE odkryto problem, który dotyczy wszystkich wersji od 14.1 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Użytkownicy z licencją EE mogli powiązać dowolny projekt polityki bezpieczeństwa za pomocą jego identyfikatora z projektami lub grupami, do których mają dostęp, co mogło ujawnić skonfigurowane polityki bezpieczeństwa projektu.
Ocena ryzyka
Możliwość ujawnienia wrażliwych informacji dotyczących polityk bezpieczeństwa może prowadzić do naruszenia bezpieczeństwa danych w organizacji. Użytkownicy mogą nieświadomie uzyskać dostęp do informacji, które powinny być chronione.
Rekomendacja
Zaleca się aktualizację GitLab EE do najnowszej wersji, aby usunąć tę podatność. Należy również przeprowadzić audyt dostępów do projektów i grup, aby zminimalizować ryzyko ujawnienia informacji.
Oryginalny opis (angielski, źródło NVD)
An issue has been discovered in GitLab EE affecting all versions starting from 14.1 before 16.0.8, all versions starting from 16.1 before 16.1.3, all versions starting from 16.2 before 16.2.2. It was possible for EE-licensed users to link any security policy project by its ID to projects or groups the user has access to, potentially revealing the security projects's configured security policies.