GitLab CE/EE 拒绝服务漏洞(CVE-2023-3424)

2024年10月23日23:46:05评论12 views字数 477阅读1分35秒阅读模式

漏洞描述:
GitLab CE/EE中存在拒绝服务漏洞，未经身份认证的远程攻击者通过将精心设计的有效负载发送到preview_markdown端点，可以实现正则表达式拒绝服务。
在GitLab CE/EE的Markdown字段中的EpicReferenceFilter存在ReDoS漏洞。

影响版本:
10.3 <= GitLab CE/EE <= 15.11.10
GitLab CE/EE 16.0 <= 16.0.6
GitLab CE/EE 16.1 <= 16.1.1

修复方案:
官方修复方案
官方已发布修复方案，受影响的用户建议更新至安全版本:16.1.1, 16.0.6, 15.11.10
https://about.gitlab.com/install/

临时缓解措施：
非必要不建议将该系统暴露在公网

参考:https://about.gitlab.com/releases/2023/06/29/security-release-gitlab-16-1-1-released/

原文始发于微信公众号（飓风网络安全）：【漏洞预警】GitLab CE/EE 拒绝服务漏洞(CVE-2023-3424)

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

本文由 admin 发表于 2024年10月23日23:46:05
转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
GitLab CE/EE 拒绝服务漏洞(CVE-2023-3424)http://cn-sec.com/archives/1846632.html
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

Argo Events权限管理不当漏洞