GitLab 釋出安全補丁版本17.6.1, 17.5.3, 17.4.5

极狐GitLab發表於2024-11-28
Gitlab

本分分享極狐GitLab 補丁版本 17.6.1, 17.5.3, 17.4.5 的詳細內容。這幾個版本包含重要的缺陷和安全修復程式碼，我們強烈建議所有私有化部署使用者應該立即升級到上述的某一個版本。對於極狐GitLab SaaS，技術團隊已經進行了升級，無需使用者採取任何措施。

極狐GitLab 正式推出面向 GitLab 老舊版本的專業升級服務，專業技術人員為 GitLab 版本升級提供企業級服務，讓企業業務暢行無憂！

升級之前可以在極狐GitLab 升級路徑官網檢視對應的升級路徑，一定要按照升級路徑升級，否則極易出現問題。

漏洞詳情

標題 嚴重等級 CVE ID
透過 LFS 令牌提升許可權 高 CVE-2024-8114
檢視精心製作的 cargo.toml 檔案時，由於未受控的資源消耗導致 DoS 攻擊 中等 CVE-2024-8237
透過範圍限定的令牌意外訪問資料庫 中等 CVE-2024-11669
透過 Harbor 映象倉庫整合導致的極狐GitLab DoS 攻擊 中等 CVE-2024-8177
透過 test_report API 呼叫導致的資源耗盡和 DoS 攻擊 中等 CVE-2024-11828
流式傳輸端點在撤銷後沒有使令牌失效 中等 CVE-2024-11668

CVE-2024-8114

此漏洞允許攻擊者使用受害者的個人訪問令牌（PAT）進行許可權提升。影響從 8.12 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N , 8.2）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-8114。

CVE-2024-8237

此漏洞下，透過精心偽造的 cargo.toml 檔案，攻擊者可以造成 DoS 攻擊。影響從 12.6 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-8237。

CVE-2024-11669

此漏洞下，某些 API 端點可能由於過度應用令牌範圍，導致允許未經授權的敏感資料訪問。影響從 16.9.8 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N, 6.5）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-11669。

CVE-2024-8177

此漏洞下，攻擊者可以透過整合一個惡意的 harbor 映象倉庫導致 DoS 攻擊。影響從 15.6 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H, 5.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-8177。

CVE-2024-11828

透過利用此漏洞，透過傳送精心偽造的 API 呼叫，攻擊者就能夠創造一個 DoS 攻擊條件。影響從 13.2.4 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L, 4.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-11828。

CVE-2024-11668

在此漏洞下，長期連線可能會潛在地繞過認證控制，允許未經授權的訪問流式結果。影響從 16.11 開始到 17.4.5 之前的所有版本、從 17.5 開始到 17.5.3 之前的所有版本以及從 17.6 開始到 17.6.1 之前的所有版本 。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N, 4.2）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2024-11668。

影響版本

CVE-2024-8114

  • 8.12 <= GitLab CE/EE/JH < 17.4.5
  • 17.5 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

CVE-2024-8237

  • 12.6 <= GitLab CE/EE/JH < 17.4.5
  • 17.5 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

CVE-2024-11669

  • 16.9.8 <= GitLab CE/EE/JH < 17.4.5
  • 17.4 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

CVE-2024-8177

  • 15.6 <= GitLab CE/EE/JH < 17.4.5
  • 17.5 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

CVE-2024-11828

  • 13.2.4 <= GitLab CE/EE/JH < 17.4.5
  • 17.5 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

CVE-2024-11668

  • 16.11 <= GitLab CE/EE/JH < 17.4.5
  • 17.5 <= GitLab CE/EE/JH < 17.5.3
  • 17.6 <= GitLab CE/EE/JH < 17.6.1

建議的操作

我們強烈建議所有受以下問題描述所影響的安裝例項儘快升級到最新版本。當沒有指明產品部署型別的時候（omnibus、原始碼、helm chart 等），意味著所有的型別都有影響。

對於GitLab/極狐GitLab 私有化部署版的使用者，透過將原有的GitLab CE/EE/JH升級至極狐GitLab 17.6.1-jh、17.5.3-jh、17.4.5-jh 版本即可修復該漏洞。

Omnibus 安裝

使用 Omnibus 安裝部署的例項，升級詳情可以檢視極狐GitLab 安裝包安裝升級文件。

Docker 安裝

使用 Docker 安裝部署的例項，可使用如下三個容器映象將產品升級到上述三個版本：

registry.gitlab.cn/omnibus/gitlab-jh:17.6.1-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.5.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.4.5-jh.0

升級詳情可以檢視極狐GitLab Docker 安裝升級文件。

Helm Chart 安裝

使用雲原生安裝的例項，可將使用的 Helm Chart 升級到 8.6.1(對應 17.6.1-jh）、8.5.3（對應 17.5.3-jh）、8.4.5（對應 17.4.5-jh）來修復該漏洞。升級詳情可以檢視 Helm Chart 安裝升級文件。

JH 版本 17.6.1 17.5.3 17.4.5
Chart 版本 8.6.1 8.5.3 8.4.5

對於SaaS使用者（jihulab.com），無需進行任何操作，我們已經升級SaaS以修復該漏洞。

極狐GitLab 技術支援

極狐GitLab 技術支援團隊對付費客戶GitLab（基礎版/專業版）提供全面的技術支援，您可以透過https://support.gitlab.cn/#/portal/myticket 將問題提交。

如果您是免費使用者，在升級過程中遇到任何問題，可以諮詢 GitLab 專業升級服務。

相關文章