Un nuevo aviso de seguridad y una actualización
[Actualización 26/09/2024] Omisión de autenticación SAML en GitLab CE/EE
Ediciones Gitlab Community y Enterprise, versiones anteriroes a: 17.3.2, 17.2.6, 17.1.7, 17.0.7, 16.11.9.
[Actualización 26/09/2024]
Ediciones Gitlab Community y Enterprise, versiones anteriores a: 16.10.10, 16.9.11, 16.8.10, 16.7.10, 16.6.10, 16.5.10, 16.4.7, 16.3.9, 16.2.11, 16.1.8, y 16.0.10
Gitlab ha publicado una actualización para las ediciones de Gitlab Community (CE) y Enterprise (EE), que soluciona una vulnerabilidad de severidad crítica que podría permitir la omisión de autenticación SAML.
Actualizar los productos afectados a las versiones: 17.3.3, 17.2.7, 17.1.8, 17.0.8 y 16.11.10.
[Actualización 26/09/2024]
Actualizar los productos afectados a las versiones: 16.10.10, 16.9.11, 16.8.10, 16.7.10, 16.6.10, 16.5.10, 16.4.7, 16.3.9, 16.2.11, 16.1.8, y 16.0.10
Se ha descubierto una vulnerabilidad en GitLab CE/EE que afecta a las versiones 17.3.2, 17.2.6, 17.1.7, 17.0.7, 16.11.9 y anteriores. Un atacante no autenticado con acceso a cualquier documento SAML firmado por el IdP podría falsificar una respuesta/aserción SAML con contenido arbitrario. Esto permitiría al atacante iniciar sesión como un usuario cualquiera dentro del sistema vulnerable. Se ha asignado el identificador CVE-2024-45409 para esta vulnerabilidad.
Múltiples vulnerabilidades en Clibo Manager
Clibo Manager, versiones 1.1.9.1 y 1.1.9.2.
INCIBE ha coordinado la publicación de 2 vulnerabilidades, de severidades alta y media, que afectan a Clibo Manager en sus versiones 1.1.9.1 y 1.1.9.2, respectivamente. La primera vulnerabilidad podría permitir ejecutar un Cross-Site Scripting almacenado (stored XSS) mediante la subida de una imagen maliciosa con extensión SVG en la versión 1.1.9.1. Por otro lado, existe otra vulnerabilidad, una ausencia del límite de envíos de correos electrónicos en el apartado ‘olvidado mi contraseña’ que afecta a la versión 1.1.9.2. Ambas vulnerabilidades han sido descubiertas por David Padilla Alvarado.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v3.1, vectores del CVSS y los tipos de vulnerabilidades CWE:
- CVE-2024-9198: CVSS v3.1: 7.6 | CVSS AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:L/A:N | CWE-79
- CVE-2024-9199: CVSS v3.1: 5.8 | CVSS AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N | CWE-799
Las vulnerabilidades han sido solucionadas por el equipo de Clibo Manager en la versión 1.1.9.12.
- CVE-2024-9198: vulnerabilidad en Clibo Manager v1.1.9.1 que podría permitir a un atacante ejecutar Cross-Site Scripting almacenado (XSS stored) mediante la subida de una imagen maliciosa .svg en el apartado: Perfil > Foto de perfil.
- CVE-2024-9199: vulnerabilidad en Clibo Manager v1.1.9.2 de tipo rate limit que podría permitir a un atacante enviar un número elevado de correos electrónicos a la víctima en poco tiempo afectando a la disponibilidad y derivando en una denegación de servicio (DoS).