GitLab Community Edition/Enterprise Edition bis 15.3.4/15.4.3/15.5.1 Swagger OpenAPI Document Cross Site Request Forgery

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.4$0-$5k0.00

Zusammenfassunginfo

In GitLab Community Edition and Enterprise Edition bis 15.3.4/15.4.3/15.5.1 wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Es geht dabei um eine nicht klar definierte Funktion der Komponente Swagger OpenAPI Document Handler. Mittels Manipulieren mit unbekannten Daten kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2022-3726 gehandelt. Der Angriff kann über das Netzwerk passieren. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine Schwachstelle wurde in GitLab Community Edition sowie Enterprise Edition bis 15.3.4/15.4.3/15.5.1 (Bug Tracking Software) entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Komponente Swagger OpenAPI Document Handler. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-352. Die exakten Auswirkungen einer erfolgreichen Attacke sind bis dato nicht bekannt. Die Zusammenfassung von CVE lautet:

Lack of sand-boxing of OpenAPI documents in GitLab CE/EE affecting all versions from 12.6 prior to 15.3.5, 15.4 prior to 15.4.4, and 15.5 prior to 15.5.2 allows an attacker to trick a user to click on the Swagger OpenAPI viewer and issue HTTP requests that affect the victim's account.

Die Schwachstelle wurde am 10.11.2022 als 362509 herausgegeben. Bereitgestellt wird das Advisory unter gitlab.com. Die Verwundbarkeit wird seit dem 27.10.2022 mit der eindeutigen Identifikation CVE-2022-3726 gehandelt. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 15.3.5, 15.4.4 oder 15.5.2 vermag dieses Problem zu lösen.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.4

VulDB Base Score: 2.6
VulDB Temp Score: 2.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.0
NVD Vector: 🔍

CNA Base Score: 4.8
CNA Vector (GitLab Inc.): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Request Forgery
CWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Community Edition/Enterprise Edition 15.3.5/15.4.4/15.5.2

Timelineinfo

27.10.2022 🔍
10.11.2022 +14 Tage 🔍
10.11.2022 +0 Tage 🔍
11.12.2022 +31 Tage 🔍

Quelleninfo

Hersteller: gitlab.com

Advisory: 362509
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2022-3726 (🔍)
GCVE (CVE): GCVE-0-2022-3726
GCVE (VulDB): GCVE-100-213365

Eintraginfo

Erstellt: 10.11.2022 08:38
Aktualisierung: 11.12.2022 14:12
Anpassungen: 10.11.2022 08:38 (43), 11.12.2022 14:12 (22)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!