The version of GitLab installed on the remote host is affected by a vulnerability, as follows:

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     to read the source code of a project through a fork created before changing visibility to only project     members. (CVE-2023-3413)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 6e0ebb4a-5e75-11ee-a365-001b217b3468 advisory.

  - An information disclosure issue in GitLab CE/EE affecting all versions prior to 16.2.8, 16.3 prior to     16.3.5, and 16.4 prior to 16.4.1 allows an attacker to extract non-protected CI/CD variables by tricking a     user to visit a fork with a malicious CI/CD configuration. (CVE-2023-0989)

  - An improper authorization issue has been discovered in GitLab CE/EE affecting all versions starting from     11.8 before 16.2.x8, all versions starting from 16.3 before 16.3.5 and all versions starting from 16.4.0     before 16.4.1. It allows a project reporter can leak the owner's Sentry instance projects. (CVE-2023-2233)

  - An issue has been discovered in GitLab EE affecting all versions affecting all versions from 11.11 prior     to 16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1. Single Sign On restrictions were not correctly     enforced for indirect project members accessing public members-only project repositories. (CVE-2023-3115)

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that an unauthorised user to fork a public project. (CVE-2023-3413)

  - An input validation issue in the asset proxy in GitLab EE, affecting all versions from 12.3 prior to     16.2.8, 16.3 prior to 16.3.5, and 16.4 prior to 16.4.1, allowed an authenticated attacker to craft image     urls which bypass the asset proxy. (CVE-2023-3906)

  - A business logic error in GitLab EE affecting all versions prior to 16.2.8, 16.3 prior to 16.3.5, and 16.4     prior to 16.4.1 allows access to internal projects. A service account is not deleted when a namespace is     deleted, allowing access to internal projects. (CVE-2023-3914)

  - Denial of Service in pipelines affecting all versions of Gitlab EE and CE prior to 16.2.8, 16.3 prior to     16.3.5, and 16.4 prior to 16.4.1 allows attacker to cause pipelines to fail. (CVE-2023-3917)

  - An issue has been discovered in GitLab affecting all versions starting from 11.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that a maintainer to create a fork relationship between existing projects contrary to the documentation.
    (CVE-2023-3920)

  - An issue has been discovered in GitLab CE/EE affecting all versions starting from 8.15 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     to hijack some links and buttons on the GitLab UI to a malicious page. (CVE-2023-3922)

  - An issue has been discovered in GitLab CE/EE affecting all versions starting from 10.6 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     that upstream members to collaborate with you on your branch get permission to write to the merge     request's source branch. . (CVE-2023-3979)

  - An issue has been discovered in GitLab EE affecting all versions starting 15.3 prior to prior to 16.2.8,     16.3 prior to 16.3.5, and 16.4 prior to 16.4.1. Code owner approval was not removed from merge requests     when the target branch was updated. (CVE-2023-4379)

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. Users were     capable of linking CI/CD jobs of private projects which they are not a member of. (CVE-2023-4532)

  - An issue has been discovered in GitLab EE affecting all versions starting from X.Y before 16.X, all     versions starting from 16.X before 16.X. It was possible for an attacker to abuse the Allowed to merge     permission as a guest user, when granted the permission through a group. (CVE-2023-4658)

  - An issue has been discovered in GitLab affecting all versions prior to 16.2.7, all versions starting from     16.3 before 16.3.5, and all versions starting from 16.4 before 16.4.1. It was possible for a removed     project member to write to protected branches using deploy keys. (CVE-2023-5198)

  - Two issues have been discovered in Ultimate-licensed GitLab EE affecting all versions starting 13.12 prior     to 16.2.8, 16.3.0 prior to 16.3.5, and 16.4.0 prior to 16.4.1 that could allow an attacker to impersonate     users in CI pipelines through direct transfer group imports. These are a high severity issues     (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2). They are now mitigated in the latest release and are     assigned CVE-2023-5207. These issues have been discovered internally by GitLab team member Joern     Schneeweisz. (CVE-2023-5207)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、6e0ebb4a-5e75-11ee-a365-001b217b3468 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 16.2.8 より前、16.3.5 より前の 16.3、16.4.1 より前の 16.4 のすべてのバージョンに影響を与える GitLab CE/EE での情報漏洩の問題のため、攻撃者がユーザーを騙して、悪意のある CI/CD 構成を使用してフォークにアクセスさせ、保護されていない CI/CD 変数を抽出する可能性があります。(CVE-2023-0989)

  - GitLab CE/EE で、16.2.x8 より前の 11.8 以降のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4.0 以降のすべてのバージョンに影響する不適切な認証の問題が発見されました。このため、プロジェクト報告者は所有者の Sentry インスタンスプロジェクトを漏洩することができます。(CVE-2023-2233)

  - GitLab EE に問題が発見されました。これは 16.2.8 より前の 11.11、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与えます。シングルサインオンの制限が、パブリックメンバー専用プロジェクトリポジトリにアクセスする間接プロジェクトメンバーに対して適切に実施されていませんでした。(CVE-2023-3115)

  - GitLab で、16.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。権限のないユーザーがパブリックプロジェクトを fork する可能性がありました。(CVE-2023-3413)

  - GitLab EE の資産プロキシの入力検証の問題は、16.2.8 より前の 12.3、16.3.5 より前の 16.3、および 16.4.1 より前の 16.4 以降のすべてのバージョンに影響を与えます。このため、認証された攻撃者は資産プロキシをバイパスするイメージ URL を作成することができます。( CVE-2023-3906)

  - 16.2.8より前、16.3.5 より前の 16.3、16.4 より前の 16.4.1 のすべてのバージョンに影響を与える GitLab EE のビジネスロジックエラーのため、内部プロジェクトにアクセスすることができます。名前空間を削除してもサービスアカウントが削除されず、内部プロジェクトにアクセスすることができます。(CVE-2023-3914)

  - 16.2.8、16.3.5 より前の 16.3、16.4.1 より前の 16.4 の Gitlab EE および CE のすべてのバージョンに影響を与えるパイプラインのサービス拒否のため、攻撃者はパイプラインに障害を発生させることができます。（CVE-2023-3917）

  - GitLab で、11.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。メンテナーが、ドキュメントに反する既存のプロジェクト間の fork 関係を作成する可能性がありました。
    (CVE-2023-3920)

  - GitLab CE/EE で、8.15 から 16.2.8 より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1 より前のすべてのバージョンに影響する問題が発見されました。GitLab UI の一部のリンクやボタンを悪意のあるページにハイジャックすることが可能でした。(CVE-2023-3922)

  - GitLab CE/EE で、10.6 から 16.2.8 より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1 より前のすべてのバージョンに影響する問題が発見されました。ブランチでコラボレーションしている Upstream メンバーが、マージリクエストのソースブランチへの書き込み権限を取得する可能性がありました。(CVE-2023-3979)

  - GitLab EE に問題が発見されました。これは 15.3 から 16.2.8 より前、16.3 から 16.3.5 より前、および 16.4 から 16.4.1 より前のすべてのバージョンに影響を与えます。ターゲットブランチが更新された場合に、コード所有者の承認がマージリクエストから削除されませんでした。(CVE-2023-4379)

  - GitLab で、16.2から 16.2.8より前のすべてのバージョン、16.3 から 16.3.5より前のすべてのバージョン、16.4 から 16.4.1より前のすべてのバージョンに影響する問題が発見されました。ユーザーは、メンバーではないプライベートプロジェクトの CI/CD ジョブをリンクすることができました。(CVE-2023-4532)

  - GitLab EE で、16.X から X.Y より前のすべてのバージョン、16.X から 16.X より前のすべてのバージョンに影響する問題が発見されました。グループを通じてアクセス許可が付与されている場合、攻撃者がゲストユーザーとしてマージを許可されているというアクセス許可を悪用する可能性がありました。(CVE-2023-4658)

  - GitLab で、16.2.7 より前のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4 以降のすべてのバージョンに影響する問題が発見されました。削除されたプロジェクトメンバーが、デプロイキーを使用して、保護されたブランチに書き込むことが可能でした。(CVE-2023-5198)

  - Ultimate-licensed GitLab EE において、CI パイプライン内で直接転送グループのインポートを通じてユーザーのなりすましが可能となる 2 つの問題が検出されました。これは、16.2.8 より前の 13.12、16.3.5 より前の 16.3.0、16.4.1 より前の 16.4.0 に影響します。これらは深刻度高の問題です (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A: N、8.2)。これらは現在では最新のリリースで緩和され、CVE-2023-5207 が割り当てられています。これらの問題は、GitLab チームメンバーの Joern Schneyweisz 氏が内部的に発見しました。(CVE-2023-5207)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue has been discovered in GitLab affecting all versions starting from 16.2 before 16.2.8, all     versions starting from 16.3 before 16.3.5, all versions starting from 16.4 before 16.4.1. It was possible     to read the source code of a project through a fork created before changing visibility to only project     members. (CVE-2023-3413)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - GitLab で、16.2.8 より前の 16.2 以降のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4 以降のすべてのバージョンに影響する問題が発見されました。可視性をプロジェクトメンバーのみに変更する前に作成されたフォークを通じて、プロジェクトのソースコードを読み取ることが可能でした。(CVE-2023-3413)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端主機上安裝的 GitLab 版本受到下列弱點影響：

  - 在 GitLab 中發現一個問題，此問題會影響 16.2.8 之前的 16.2、16.3.5 之前的 16.3 和 16.4.1 之前的 16.4 中的所有版本。可以透過在將可見度變更為僅限專案成員之前建立的分支讀取專案的原始程式碼。(CVE-2023-3413)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている GitLab のバージョンは、以下の脆弱性の影響を受けます:

  - GitLab で、16.2.8 より前の 16.2 以降のすべてのバージョン、16.3.5 より前の 16.3 以降のすべてのバージョン、16.4.1 より前の 16.4 以降のすべてのバージョンに影響する問題が発見されました。可視性をプロジェクトメンバーのみに変更する前に作成されたフォークを通じて、プロジェクトのソースコードを読み取ることが可能でした。(CVE-2023-3413)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 GitLab 中发现一个问题，16.2 至 16.2.8、16.3 至 16.3.5 以及 16.4 至 16.4.1 的所有版本均受此影响。在将可见性改为只对项目成员可见之前，可以通过创建的 fork 读取项目的源代码。(CVE-2023-3413)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 GitLab 版本受到以下漏洞的影响：

  - 在 GitLab 中发现一个问题，16.2 至 16.2.8、16.3 至 16.3.5 以及 16.4 至 16.4.1 的所有版本均受此影响。在将可见性改为只对项目成员可见之前，可以通过创建的 fork 读取项目的源代码。(CVE-2023-3413)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 GitLab 中發現一個問題，此問題會影響 16.2.8 之前的 16.2、16.3.5 之前的 16.3 和 16.4.1 之前的 16.4 中的所有版本。可以透過在將可見度變更為僅限專案成員之前建立的分支讀取專案的原始程式碼。(CVE-2023-3413)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
182358	GitLab 16.2 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-3413)	Nessus	CGI abuses	2023/9/29	2024/5/17	high
182168	FreeBSD : Gitlab -- vulnerabilities (6e0ebb4a-5e75-11ee-a365-001b217b3468)	Nessus	FreeBSD Local Security Checks	2023/9/29	2023/11/9	high
182168	FreeBSD : Gitlab -- 脆弱性（6e0ebb4a-5e75-11ee-a365-001b217b3468）	Nessus	FreeBSD Local Security Checks	2023/9/29	2023/11/9	high
258513	Linux Distros Unpatched Vulnerability : CVE-2023-3413	Nessus	Misc.	2025/8/30	2025/8/30	high
258513	Linux Distros のパッチ未適用の脆弱性: CVE-2023-3413	Nessus	Misc.	2025/8/30	2025/8/30	high
182358	GitLab 16.2 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-3413)	Nessus	CGI abuses	2023/9/29	2024/5/17	high
182358	GitLab 16.2 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-3413)	Nessus	CGI abuses	2023/9/29	2024/5/17	high
258513	Linux Distros 未修补的漏洞：CVE-2023-3413	Nessus	Misc.	2025/8/30	2025/8/30	high
182358	GitLab 16.2 < 16.2.8 / 16.3 < 16.3.5 / 16.4 < 16.4.1 (CVE-2023-3413)	Nessus	CGI abuses	2023/9/29	2024/5/17	high
258513	Linux Distros 未修補的弱點：CVE-2023-3413	Nessus	Misc.	2025/8/30	2025/8/30	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high