The version of GitLab installed on the remote host is affected by a vulnerability, as follows:

  - An information disclosure issue in GitLab CE/EE affecting all versions starting from 13.11 prior to     16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1 allows an attacker to extract non-protected CI/CD     variables by tricking a user to visit a fork with a malicious CI/CD configuration. (CVE-2023-0989)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている GitLab のバージョンは、以下の脆弱性の影響を受けます:

  - 16.2.8 より前の 13.11、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与える GitLab CE/EE での情報漏洩の問題のため、攻撃者がユーザーを騙して、悪意のある CI/CD 構成を使用してフォークにアクセスさせ、保護されていない CI/CD 変数を抽出する可能性があります。(CVE-2023-0989)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - GitLab CE/EE 中的一個資訊洩漏問題會影響 16.2.8 之前的 13.11、16.3.5 之前的 16.3 以及 16.4.1 之前的 16.4 版，其允許攻擊者透過以下方式擷取未受保護的 CI/CD 變數：攻擊者以惡意的 CI/CD 組態造訪分支。(CVE-2023-0989)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上安装的 GitLab 版本受到以下漏洞的影响：

  - GitLab CE/EE 中存在信息泄露问题，会影响从 13.11 至 16.2.8、 16.3 至 16.3.5 以及 16.4 至 16.4.1 的所有版本，攻击者可利用此问题，通过诱骗用户访问具有恶意 CI/CD 配置的 fork，从而提取不受保护的 CI/CD 变量。(CVE-2023-0989)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 GitLab 版本受到下列弱點影響：

  - GitLab CE/EE 中的一個資訊洩漏問題會影響 16.2.8 之前的 13.11、16.3.5 之前的 16.3 以及 16.4.1 之前的 16.4 版，其允許攻擊者透過以下方式擷取未受保護的 CI/CD 變數：攻擊者以惡意的 CI/CD 組態造訪分支。(CVE-2023-0989)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - GitLab CE/EE 中存在信息泄露问题，会影响从 13.11 至 16.2.8、 16.3 至 16.3.5 以及 16.4 至 16.4.1 的所有版本，攻击者可利用此问题，通过诱骗用户访问具有恶意 CI/CD 配置的 fork，从而提取不受保护的 CI/CD 变量。(CVE-2023-0989)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 6e0ebb4a-5e75-11ee-a365-001b217b3468 advisory.

  - An information disclosure issue in GitLab CE/EE affecting all versions prior to 16.2.8, 16.3 prior to     16.3.5, and 16.4 prior to 16.4.1 allows an attacker to extract non-protected CI/CD variables by tricking a     user to visit a fork with a malicious CI/CD configuration. (CVE-2023-0989)

  - An improper authorization issue has been discovered in GitLab CE/EE affecting all versions starting from     11.8 before 16.2.x8, all versions starting from 16.3 before 16.3.5 and all versions starting from 16.4.0     before 16.4.1. It allows a project reporter can leak the owner's Sentry instance projects. (CVE-2023-2233)

  - An issue has been discovered in GitLab EE affecting all versions affecting all versions from 11.11 prior     to 16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1. Single Sign On restrictions were not correctly     enforced for indirect project members accessing public members-only project repositories. (CVE-2023-3115)

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that an unauthorised user to fork a public project. (CVE-2023-3413)

  - An input validation issue in the asset proxy in GitLab EE, affecting all versions from 12.3 prior to     16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1, allowed an authenticated attacker to craft image     urls which bypass the asset proxy. (CVE-2023-3906)

  - A business logic error in GitLab EE affecting all versions prior to 16.2.8, 16.3 prior to 16.3.5, and 16.4     prior to 16.4.1 allows access to internal projects. A service account is not deleted when a namespace is     deleted, allowing access to internal projects. (CVE-2023-3914)

  - Denial of Service in pipelines affecting all versions of Gitlab EE and CE prior to 16.2.8, 16.3 prior to     16.3.5, and 16.4 prior to 16.4.1 allows attacker to cause pipelines to fail. (CVE-2023-3917)

  - An issue has been discovered in GitLab affecting all versions starting from 11.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that a maintainer to create a fork relationship between existing projects contrary to the documentation.
    (CVE-2023-3920)

  - An issue has been discovered in GitLab CE/EE affecting all versions starting from 8.15 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     to hijack some links and buttons on the GitLab UI to a malicious page. (CVE-2023-3922)

  - An issue has been discovered in GitLab CE/EE affecting all versions starting from 10.6 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that upstream members to collaborate with you on your branch get permission to write to the merge     request's source branch. . (CVE-2023-3979)

  - An issue has been discovered in GitLab EE affecting all versions starting 15.3 prior to prior to 16.2.8,     16.3 prior to 16.3.5, and 16.4 prior to 16.4.1. Code owner approval was not removed from merge requests     when the target branch was updated. (CVE-2023-4379)

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. Users were     capable of linking CI/CD jobs of private projects which they are not a member of. (CVE-2023-4532)

  - An issue has been discovered in GitLab EE affecting all versions starting from X.Y before 16.X, all     versions starting from 16.X before 16.X. It was possible for an attacker to abuse the Allowed to merge     permission as a guest user, when granted the permission through a group. (CVE-2023-4658)

  - An issue has been discovered in GitLab affecting all versions prior to 16.2.7, all versions starting from     16.3 before 16.3.5, and all versions starting from 16.4 before 16.4.1. It was possible for a removed     project member to write to protected branches using deploy keys. (CVE-2023-5198)

  - Two issues have been discovered in Ultimate-licensed GitLab EE affecting all versions starting 13.12 prior     to 16.2.8, 16.3.0 prior to 16.3.5, and 16.4.0 prior to 16.4.1 that could allow an attacker to impersonate     users in CI pipelines through direct transfer group imports. These are a high severity issues     (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2). They are now mitigated in the latest release and are     assigned CVE-2023-5207. These issues have been discovered internally by GitLab team member Joern     Schneeweisz. (CVE-2023-5207)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An information disclosure issue in GitLab CE/EE affecting all versions starting from 13.11 prior to     16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1 allows an attacker to extract non-protected CI/CD     variables by tricking a user to visit a fork with a malicious CI/CD configuration. (CVE-2023-0989)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、6e0ebb4a-5e75-11ee-a365-001b217b3468 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 16.2.8 より前、16.3.5 より前の 16.3、16.4.1 より前の 16.4 のすべてのバージョンに影響を与える GitLab CE/EE での情報漏洩の問題のため、攻撃者がユーザーを騙して、悪意のある CI/CD 構成を使用してフォークにアクセスさせ、保護されていない CI/CD 変数を抽出する可能性があります。(CVE-2023-0989)

  - GitLab CE/EE で、16.2.x8 より前の 11.8 以降のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4.0 以降のすべてのバージョンに影響する不適切な認証の問題が発見されました。このため、プロジェクト報告者は所有者の Sentry インスタンスプロジェクトを漏洩することができます。(CVE-2023-2233)

  - GitLab EE に問題が発見されました。これは 16.2.8 より前の 11.11、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与えます。シングルサインオンの制限が、パブリックメンバー専用プロジェクトリポジトリにアクセスする間接プロジェクトメンバーに対して適切に実施されていませんでした。(CVE-2023-3115)

  - GitLab で、16.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。権限のないユーザーがパブリックプロジェクトを fork する可能性がありました。(CVE-2023-3413)

  - GitLab EE の資産プロキシの入力検証の問題は、16.2.8 より前の 12.3、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与えます。このため、認証された攻撃者は資産プロキシをバイパスするイメージ URL を作成することができます。( CVE-2023-3906)

  - 16.2.8より前、16.3.5 より前の 16.3、16.4 より前の 16.4.1 のすべてのバージョンに影響を与える GitLab EE のビジネスロジックエラーのため、内部プロジェクトにアクセスすることができます。名前空間を削除してもサービスアカウントが削除されず、内部プロジェクトにアクセスすることができます。(CVE-2023-3914)

  - 16.2.8、16.3.5 より前の 16.3、16.4.1 より前の 16.4 の Gitlab EE および CE のすべてのバージョンに影響を与えるパイプラインのサービス拒否のため、攻撃者はパイプラインに障害を発生させることができます。（CVE-2023-3917）

  - GitLab で、11.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。メンテナーが、ドキュメントに反する既存のプロジェクト間の fork 関係を作成する可能性がありました。
    (CVE-2023-3920)

  - GitLab CE/EE で、8.15 から 16.2.8 より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1 より前のすべてのバージョンに影響する問題が発見されました。GitLab UI の一部のリンクやボタンを悪意のあるページにハイジャックすることが可能でした。(CVE-2023-3922)

  - GitLab CE/EE で、10.6 から 16.2.8 より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1 より前のすべてのバージョンに影響する問題が発見されました。ブランチでコラボレーションしている Upstream メンバーが、マージリクエストのソースブランチへの書き込み権限を取得する可能性がありました。(CVE-2023-3979)

  - GitLab EE に問題が発見されました。これは 15.3 から 16.2.8 より前、16.3 から 16.3.5 より前、および 16.4 から 16.4.1 より前のすべてのバージョンに影響を与えます。ターゲットブランチが更新された場合に、コード所有者の承認がマージリクエストから削除されませんでした。(CVE-2023-4379)

  - GitLab で、16.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。ユーザーは、メンバーではないプライベートプロジェクトの CI/CD ジョブをリンクすることができました。(CVE-2023-4532)

  - GitLab EE で、16.X から X.Y より前のすべてのバージョン、16.X から 16.X より前のすべてのバージョンに影響する問題が発見されました。グループを通じてアクセス許可が付与されている場合、攻撃者がゲストユーザーとしてマージを許可されているというアクセス許可を悪用する可能性がありました。(CVE-2023-4658)

  - GitLab で、16.2.7 より前のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4 以降のすべてのバージョンに影響する問題が発見されました。削除されたプロジェクトメンバーが、デプロイキーを使用して、保護されたブランチに書き込むことが可能でした。(CVE-2023-5198)

  - Ultimate-licensed GitLab EE において、CI パイプライン内で直接転送グループのインポートを通じてユーザーのなりすましが可能となる 2 つの問題が検出されました。これは、16.2.8 より前の 13.12、16.3.5 より前の 16.3.0、16.4.1 より前の 16.4.0 に影響します。これらは深刻度高の問題です (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A: N、8.2)。これらは現在では最新のリリースで緩和され、CVE-2023-5207 が割り当てられています。これらの問題は、GitLab チームメンバーの Joern Schneyweisz 氏が内部的に発見しました。(CVE-2023-5207)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 16.2.8 より前の 13.11、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与える GitLab CE/EE での情報漏洩の問題のため、攻撃者がユーザーを騙して、悪意のある CI/CD 構成を使用してフォークにアクセスさせ、保護されていない CI/CD 変数を抽出する可能性があります。(CVE-2023-0989)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
182360	GitLab 0 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-0989)	Nessus	CGI abuses	9/29/2023	5/17/2024	medium
182360	GitLab 0 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-0989)	Nessus	CGI abuses	9/29/2023	5/17/2024	medium
259599	Linux Distros 未修補的弱點：CVE-2023-0989	Nessus	Misc.	8/30/2025	8/30/2025	medium
182360	GitLab 0 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-0989)	Nessus	CGI abuses	9/29/2023	5/17/2024	medium
182360	GitLab 0 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-0989)	Nessus	CGI abuses	9/29/2023	5/17/2024	medium
259599	Linux Distros 未修补的漏洞：CVE-2023-0989	Nessus	Misc.	8/30/2025	8/30/2025	medium
182168	FreeBSD : Gitlab -- vulnerabilities (6e0ebb4a-5e75-11ee-a365-001b217b3468)	Nessus	FreeBSD Local Security Checks	9/29/2023	11/9/2023	high
259599	Linux Distros Unpatched Vulnerability : CVE-2023-0989	Nessus	Misc.	8/30/2025	8/30/2025	medium
182168	FreeBSD : Gitlab -- 脆弱性（6e0ebb4a-5e75-11ee-a365-001b217b3468）	Nessus	FreeBSD Local Security Checks	9/29/2023	11/9/2023	high
259599	Linux Distros のパッチ未適用の脆弱性: CVE-2023-0989	Nessus	Misc.	8/30/2025	8/30/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

high

medium

high

medium