PT-2024-5349

CVE-2024-2880

Publicado

2024-07-10

Atualizado

2024-07-13

Descrição por

CVSS 2.0

4.0

Média

MétricasAV:N/AC:L/Au:S/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

GitLab CE/EE versões 16.5 a 16.11.6

GitLab CE/EE versões 17.0 a 17.0.4

GitLab CE/EE versões 17.1 a 17.1.2

Descrição

A vulnerabilidade está relacionada ao controle de acesso insuficiente na função admin group member do componente Group Member Handler no GitLab. Isso pode permitir que um invasor remoto banir membros arbitrários do grupo. Um usuário com a permissão de função personalizada admin group member pode explorar essa vulnerabilidade.

Recomendações

Para as versões 16.5 a 16.11.6 do GitLab CE/EE, atualize para a versão 16.11.6 ou posterior.

Para as versões 17.0 a 17.0.4 do GitLab CE/EE, atualize para a versão 17.0.4 ou posterior.

Para as versões 17.1 a 17.1.2 do GitLab CE/EE, atualize para a versão 17.1.2 ou posterior.

Como solução alternativa temporária, considere restringir a permissão da função personalizada admin group member para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ashish_R_Padelkar

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-284: Improper Access Control

CWE-266: Incorrect Privilege Assignment

Identificadores relacionados