- Aktif istismar
- Yama var
- CWE-284
- CWE-640
CVE-2023-7028
GitLab CE/EE'de zayıf parola sıfırlama mekanizması hesap ele geçirmeye yol açıyor
- Yayımlandı
- Güncellendi
- 15 Ağu 2026
- Açık yaşı
- 1020 gün
- Kaydı açan
- GitLab
Yönetici özeti
Bu açık, saldırganların şifre sıfırlama özelliğini kötüye kullanarak GitLab hesaplarını ele geçirmesine imkân tanıyor ve aktif olarak istismar ediliyor. Kaynak kodu ve yazılım geliştirme süreçleri ciddi risk altındadır; bu nedenle güncelleme acilen yapılmalıdır.
ÖzetTürkçe
GitLab CE/EE'nin 16.1 ile 16.7.2 öncesi arasındaki bazı sürümlerinde, parola sıfırlama e-postaları kullanıcının doğrulanmamış bir e-posta adresine gönderilebilmektedir. Zafiyet, 16.1.6, 16.2.9, 16.3.7, 16.4.5, 16.5.6, 16.6.4 ve 16.7.2 öncesi sürümleri etkiler. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almakta olup aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Kimlik doğrulaması olmayan bir saldırgan, parola sıfırlama bağlantısını kendi kontrolündeki bir adrese yönlendirerek hedef kullanıcının hesabını ele geçirebilir. Bu durum kaynak koduna ve diğer hassas verilere yetkisiz erişime ve verilerin değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
An issue has been discovered in GitLab CE/EE affecting all versions from 16.1 prior to 16.1.6, 16.2 prior to 16.2.9, 16.3 prior to 16.3.7, 16.4 prior to 16.4.5, 16.5 prior to 16.5.6, 16.6 prior to 16.6.4, and 16.7 prior to 16.7.2 in which user account password reset emails could be delivered to an unverified email address.
Üreticinin çözüm notu (İngilizce)
Upgrade to versions 16.7.2, 16.6.4, 16.5.6, 16.4.5, 16.3.7, 16.2.9, 16.1.6 or above.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- GitLab'ı 16.7.2, 16.6.4, 16.5.6, 16.4.5, 16.3.7, 16.2.9 veya 16.1.6 sürümüne ya da daha yeni bir sürüme yükseltin; kullandığınız sürüm hattına uygun olan düzeltilmiş sürümü seçin. Üretici
- Üretici talimatlarına göre önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncelleme yapılana kadar GitLab örneğine erişimi güvenilir ağlarla kısıtlamayı ve parola sıfırlama işlevini geçici olarak sınırlandırmayı değerlendirin. Genel öneri
Ek önlemler
- Tüm hesaplarda, özellikle yönetici hesaplarında iki adımlı doğrulamayı etkinleştirin. Genel öneri
- Parola sıfırlama isteklerine ve beklenmedik e-posta adresi değişikliklerine ilişkin günlükleri inceleyin; şüpheli etkinlik varsa ilgili hesapların parolalarını ve erişim anahtarlarını yenileyin. Genel öneri
- GitLab örneğini mümkünse doğrudan internete açmayın; VPN veya IP kısıtlaması ile koruyun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GitLab | ≥ 16.1, < 16.1.6 | 16.1.6 |
| ≥ 16.2, < 16.2.9 | 16.2.9 | |
| ≥ 16.3, < 16.3.7 | 16.3.7 | |
| ≥ 16.4, < 16.4.5 | 16.4.5 | |
| ≥ 16.5, < 16.5.6 | 16.5.6 | |
| ≥ 16.6, < 16.6.4 | 16.6.4 | |
| ≥ 16.7, < 16.7.2 | 16.7.2 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- gitlab.com/gitlab-org/gitlab/-/issues/436084 Üçüncü taraf
- hackerone.com/reports/2293343 İstismar kodu ya da analiz
- vicarius.io/…b-account-takeover-vulnerability-cve-2023-7028 İstismar kodu ya da analiz
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- about.gitlab.com/…itical-security-release-gitlab-16-7-2-released Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.