Résumé
généré automatiquement à partir des données NVDGitLab 9.4.x antérieur à 9.4.2 ne prend pas en charge la vérification des certificats SSL LDAP, alors que l'option LDAP verify_certificates était mentionnée dans l'annonce de la version 9.4. Le problème vient d'un code qui n'a pas été fusionné, en lien avec la bibliothèque omniauth-ldap et la gem gitlab_omniauth-ldap (CWE-295, validation de certificat incorrecte). La confidentialité des échanges LDAP peut ainsi être compromise ; sévérité moyenne, score CVSS v3.0 de 5.9.
Description NVD (anglais)
GitLab 9.4.x before 9.4.2 does not support LDAP SSL certificate verification, but a verify_certificates LDAP option was mentioned in the 9.4 release announcement. This issue occurred because code was not merged. This is related to use of the omniauth-ldap library and the gitlab_omniauth-ldap gem.
EPSS · FIRST.org
0,93 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 59 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.0
Informations
- Publié
- 17 déc. 2017
- Mis à jour
- 17 juin 2026
- Statut
- Modified
- Source
- cve@mitre.org
Produits affectés
Faiblesses (CWE)
Références (6)
- https://about.gitlab.com/2017/07/22/gitlab-9-4-released/#security---add-ldap-ssl-certificate-verificationIssue TrackingVendor Advisory
- https://about.gitlab.com/2017/07/28/gitlab-9-dot-4-dot-2-released/Issue TrackingVendor Advisory
- https://gitlab.com/gitlab-org/gitlab-ce/issues/30420Issue TrackingPatchVendor Advisory
- https://about.gitlab.com/2017/07/22/gitlab-9-4-released/#security---add-ldap-ssl-certificate-verificationIssue TrackingVendor Advisory
- https://about.gitlab.com/2017/07/28/gitlab-9-dot-4-dot-2-released/Issue TrackingVendor Advisory
- https://gitlab.com/gitlab-org/gitlab-ce/issues/30420Issue TrackingPatchVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-295
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.