BDU:2024-10299 (CVE-2024-7404)

Уязвимость реализации протокола Device OAuth программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, позволяющая нарушителю получить несанкционированный доступ к API

Опубликовано: 2024-11-26

Описание

Уязвимость реализации протокола Device OAuth программной платформы на базе git для совместной работы над кодом GitLab EE/ CE связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к API

Затрагиваемое ПО и версии

Gitlab (от 17.5 до 17.5.2)Gitlab (от 17.4 до 17.4.4)Gitlab (от 17.2 до 17.3.7)

Способ устранения

Использование рекомендаций:
https://about.gitlab.com/releases/2024/11/13/patch-release-gitlab-17-5-2-released/#device-oauth-flow-allows-for-cross-window-forgery

Оценка CVSS

Балл	7.1 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/cve-2024-7404 https://about.gitlab.com/releases/2024/11/13/patch-release-gitlab-17-5-2-released/#device-oauth-flow-allows-for-cross-window-forgery https://vulert.com/vuln-db/CVE-2024-7404

Проверьте безопасность своего сайта и почты → Полная проверка домена