O GitLab foi alertado sobre uma vulnerabilidade de travessia de caminho com gravidade máxima, rastreada como CVE-2023-2825, com CVSS 10.0. Essa falha permite que um usuário mal-intencionado não autenticado leia arquivos arbitrários no servidor quando um anexo existe em um projeto público aninhado dentro de pelo menos cinco grupos.
Detalhes Técnicos
CVE-2023-2825: Vulnerabilidade de travessia de caminho em GitLab CE/EE, afetando apenas a versão 16.0.0.
CVSS 10.0 (CRÍTICO): Máxima gravidade, publicado em 2023-05-26.
Exploração: Permite a leitura de arquivos arbitrários no servidor por um usuário mal-intencionado não autenticado.
Condição: A vulnerabilidade é explorável quando um anexo existe em um projeto público aninhado dentro de pelo menos cinco grupos.
Ações Recomendadas
Atualize o GitLab: Os usuários devem atualizar imediatamente seus servidores para a versão mais recente.
Verifique a Versão: Verifique se a versão 16.0.0 está sendo utilizada e se anexos existem em projetos públicos aninhados.
Monitore o Sistema: Monitore o sistema para atividades suspeitas após a atualização.
A atualização imediata é crucial para mitigar o risco associado a essa vulnerabilidade crítica.
