Vulnerabilidad en Gitlab (CVE-2023-2478)

INTRODUCCIÓN

Se ha detectado una vulnerabilidad critica en Gitlab.

ANÁLISIS

CVE-2023-2478 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N - 9.6:

Bajo ciertas condiciones, un usuario malicioso no autorizado de GitLab puede utilizar un endpoint GraphQL para adjuntar un runner malicioso a cualquier proyecto.

VERSIONES AFECTADAS

• Versiones a partir de la 15.4 previas a 15.9.7.
• Versiones a partir de 15.10 previas a 15.10.6.
• Versiones a partir de 15.11 previas a 15.11.2.

RECOMENDACIONES

Actualice a las versiones 15.11.2, 15.10.6 o 15.9.7 para GitLab Community Edition (CE) y Enterprise Edition (EE).

REFERENCIAS

https://about.gitlab.com/releases/2023/05/05/critical-security-release-gitlab-15-11-2-released/#malicious-runner-attachment-via-graphql
https://nvd.nist.gov/vuln/detail/CVE-2023-2478