GitLab：注意严重的任意分支管道执行漏洞

Bill Toulas 代码卫士 2024-10-11 17:57

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

GitLab 发布安全更新，修复了位于社区版 (CE) 和企业版 (EE) 中的多个漏洞，其中一个是严重的任意分支管道执行漏洞 (CVE-2024-9164)。

该漏洞可导致未授权用户在仓库的任何分支上触发持续集成/持续交付 (CI/CD) 管道。CI/CD管道是执行多种任务如构建、测试和部署代码的自动化流程，通常仅向具有恰当权限的用户开放。

如攻击者能够绕过分支防护措施，则可执行代码或访问敏感信息。该漏洞的CVSS v3.1评分为9.6，为“严重”级别，影响所有 GitLab EE 版本，从12.5到17.2.8、从17.3到17.3.4，以及从17.4到17.4.1。补丁已发布在17.4.2、17.3.5和17.2.9，GitLab强烈建议用户尽快升级至这些版本。

不过，GitLab 专属用户无需采取任何措施，其基于云的实例一直运行的是最新可用版本。

除该漏洞外，GitLab还修复了如下安全问题：

CVE-2024-8970：高危的任意用户模拟漏洞，可导致攻击者以其它用户身份触发管道。
CVE-2024-8977：位于 Analytics Dashboard 中的高危SSRF漏洞，可导致实例易受SSRF攻击。
CVE-2024-9631：当查看存在冲突的合并请求的差异时，该高危漏洞可导致性能减慢。
CVE-2024-6530：位于OAuth页面中的高危HTML注入漏洞，可导致OAuth授权进程中的跨站点脚本问题。
CVE-2024-9623、CVE-2024-5005、CVE-2024-9596：低危到中危级别的漏洞，分别是部署密钥推送到已归档仓库、guest用户通过API披露项目模板以及GitLab 实例版本被披露给未授权用户。