【安全资讯】GitLab存在多个高危漏洞

安恒信息CERT监测到GitLab存在多个高危漏洞，GitLab CE/EE存在身份验证绕过漏洞（CVE-2024-6678），攻击者在某些情况下能够绕过身份验证，以任意用户身份触发pipeline。GitLab EE存在命令注入漏洞（CVE-2024-8640），由于输入过滤不完整，攻击者可以通过该漏洞将命令注入连接的cube服务器。上述漏洞影响较大，需要客户着重关注。

官方已发布修复方案，受影响的用户建议更新至安全版本。

下载链接：

https://packages.gitlab.com/gitlab/gitlab-ee

参考链接：

https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/#execute-environment-stop-actions-as-the-owner-of-the-stop-action-job

https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/#prevent-code-injection-in-product-analytics-funnels-yaml