CISA警告称，关键的GitLab密码重置漏洞正在遭到攻击，大约还有1400台服务器未修补。
该漏洞被追踪为CVE-2023-7028，CVSS得分为10/10。它允许攻击者发送密码重置消息到未经验证的电子邮件地址，从而劫持密码重置过程并接管帐户。
GitLab已在2024年1月修补了这个漏洞，受影响的版本包括GitLab社区版(CE)和企业版(EE)的16.1至16.7.1。修复程序包含在GitLab版本16.5.6、16.6.4和16.7.2中，并回溯到版本16.1.6、16.2.9、16.3.7和16.4.5。
CISA已将CVE-2023-7028添加到其已知的已开发漏洞(KEV)目录中，并指出有积极开发的证据。
此外，GitLab社区版和企业版存在不当的访问控制漏洞，允许攻击者触发密码重置电子邮件发送到未经验证的地址，最终导致帐户接管。
在1月底，Shadowserver基金会警告称，超过5300台公开可访问的GitLab服务器尚未修补该漏洞，但到5月1日，这一数字已降至约1400台。
根据约束操作指令(BOD)22-01，CVE-2023-7028已被添加到CISA的KEV列表中，联邦机构必须在5月22日之前识别其环境中的易受攻击的GitLab实例并应用可用的补丁。
尽管BOD 22-01仅适用于联邦机构，但建议所有组织阅读GitLab的建议，并尽快应用可用的补丁和缓解措施。
