Vulnerabilidad en GitLab (CVE-2017-17716)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-295
Validación incorrecta de certificados
Fecha de publicación:
17/12/2017
Última modificación:
20/04/2025
Descripción
GitLab en versiones 9.4.x anteriores a la 9.4.2 no es compatible con la verificación de certificados SSL LDAP, pero se mencionó la opción LDAP verify_certificates en el anuncio del lanzamiento de la versión 9.4. Este problema ocurrió porque el código no se combinó. Esto está relacionado con el uso de la biblioteca omniauth-ldap y la gema gitlab_omniauth-ldap.
Impacto
Puntuación base 3.x
5.90
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:gitlab:gitlab:9.4.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc3:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc4:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc5:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.0:rc6:*:*:*:*:*:* | ||
| cpe:2.3:a:gitlab:gitlab:9.4.1:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://about.gitlab.com/2017/07/22/gitlab-9-4-released/#security---add-ldap-ssl-certificate-verification
- https://about.gitlab.com/2017/07/28/gitlab-9-dot-4-dot-2-released/
- https://gitlab.com/gitlab-org/gitlab-ce/issues/30420
- https://about.gitlab.com/2017/07/22/gitlab-9-4-released/#security---add-ldap-ssl-certificate-verification
- https://about.gitlab.com/2017/07/28/gitlab-9-dot-4-dot-2-released/
- https://gitlab.com/gitlab-org/gitlab-ce/issues/30420



