Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-00232

Опубликовано: 15 дек. 2023
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab связана с некорректной проверкой сертификата при аутентификации по смарт-картам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, пройти проверку подлинности как другой пользователь с использованием его открытого ключа при условии аутентификации по смарт-карте

Вендор

GitLab Inc.

Наименование ПО

Gitlab

Версия ПО

от 11.6 до 16.4.4 (Gitlab)
от 16.5 до 16.5.4 (Gitlab)
от 16.6 до 16.6.2 (Gitlab)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Обновление программного обеспечения до версии 16.4.4, 16.5.4, 16.6.2 и выше

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 5%
0.00026
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 7.4
ubuntu
больше 1 года назад

An improper certificate validation issue in Smartcard authentication in GitLab EE affecting all versions from 11.6 prior to 16.4.4, 16.5 prior to 16.5.4, and 16.6 prior to 16.6.2 allows an attacker to authenticate as another user given their public key if they use Smartcard authentication. Smartcard authentication is an experimental feature and has to be manually enabled by an administrator.

CVSS3: 7.4
nvd
больше 1 года назад

An improper certificate validation issue in Smartcard authentication in GitLab EE affecting all versions from 11.6 prior to 16.4.4, 16.5 prior to 16.5.4, and 16.6 prior to 16.6.2 allows an attacker to authenticate as another user given their public key if they use Smartcard authentication. Smartcard authentication is an experimental feature and has to be manually enabled by an administrator.

CVSS3: 7.4
debian
больше 1 года назад

An improper certificate validation issue in Smartcard authentication i ...

CVSS3: 7.4
github
больше 1 года назад

An improper certificate validation issue in Smartcard authentication in GitLab EE affecting all versions from 11.6 prior to 16.4.4, 16.5 prior to 16.5.4, and 16.6 prior to 16.6.2 allows an attacker to authenticate as another user given their public key if they use Smartcard authentication. Smartcard authentication is an experimental feature and has to be manually enabled by an administrator.

EPSS

Процентиль: 5%
0.00026
Низкий

8.1 High

CVSS3

7.6 High

CVSS2