【漏洞通告】GitLab任意用户密码重置漏洞

01 漏洞概况

  2024年1月11日，Gitlab官方披露CVE-2023-7028 GitLab 任意用户密码重置漏洞，官方评级严重。攻击者可利用忘记密码功能，构造恶意请求获取密码重置链接从而重置密码。官方已发布安全更新，建议升级至最新版本，若无法升级，建议利用安全组功能设置Gitlab仅对可信地址开放。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	GitLab任意用户密码重置漏洞
漏洞编号	CVE编号	CVE-2023-7028
漏洞评估	披露时间	2024-01-11
	漏洞类型	绕过认证
	危害评级	高危
	公开程度	PoC未公开
	威胁类型	远程
利用情报	在野利用	是
影响产品	产品名称	GitLab
	受影响版本	16.1 ≤ GitLab < 16.1.5 16.2 ≤ GitLab < 16.2.8 16.3 ≤ GitLab < 16.3.6 16.4 ≤ GitLab < 16.4.4 16.5 ≤ GitLab < 16.5.6 16.6 ≤ GitLab < 16.6.4 16.7 ≤ GitLab < 16.7.2
	影响范围	广
	有无修复补丁	有

03 漏洞排查

      用户尽快排查系统是否下载安全补丁；

04 修复方案

1、官方修复方案：

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://about.gitlab.com/

目前这些漏洞已经修复，受影响用户可升级到GitLab CE/EE 版本16.5.6、16.6.4 和16.7.2。此外，CVE-2023-7028的安全修复程序已向后移植到GitLab版本16.1.6、16.2.9、16.3.7和16.4.5。

注：针对CVE-2023-7028，SSO 用户（例如 SAML）会受到影响，但 LDAP 用户不会受到影响，因为没有忘记/重置密码选项。此外，启用了双因素身份验证的用户很容易受到密码重置的影响，但帐户不会被接管，因为需要第二个身份验证因素才能登录。

2、临时修复方案：

        建议升级到当前最新修复版本，如无法立即升级，可为所有 GitLab 帐户启用双因素身份验证(2FA)，尤其是具有高级权限的用户（例如管理员帐户）；如果已经启用了2FA，威胁者将无法接管该帐户，但其可能仍然能够重置密码，但无法访问第二因素身份验证方法；

05 时间线

  2024.1.11 厂商发布安全补丁

      2024.1.16 安迈信科安全运营团队发布通告

   

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】GitLab任意用户密码重置漏洞