一、漏洞详情

GitLab是一个用于仓库管理系统的开源项目，其使用Git作为代码管理工具，可通过Web界面访问公开或私人项目。

近日，监测到GitLab社区版（CE）和企业版（EE）中修复了一个访问控制不当漏洞（CVE-2024-6678），允许威胁者在某些情况下以任意用户身份触发GitLab的CI/CD管道，从而可能导致权限提升或执行恶意操作。

此外，GitLab EE中还修复了Product Analytics funnels YAML代码注入漏洞（CVE-2024-8640），由于输入过滤不当，可能导致将命令注入连接的Cube服务器；以及在GitLab EE中修复了一个服务器端请求伪造漏洞（CVE-2024-8635），可能导致威胁者使用自定义Maven Dependency Proxy URL向内部资源发出请求，获取敏感信息或执行其他恶意操作。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

CVE-2024-6678

8.14 <= GitLab CE/EE < 17.1.7

17.2 <= GitLab CE/EE < 17.2.5

17.3 <= GitLab CE/EE < 17.3.2

CVE-2024-8640

16.11 <= GitLab EE < 17.1.7

17.2 <= GitLab EE < 17.2.5

17.3 <= GitLab EE < 17.3.2

CVE-2024-8635

16.8 <= GitLab EE < 17.1.7

17.2 <= GitLab EE < 17.2.5

17.3 <= GitLab EE < 17.3.2

三、修复建议

厂商已提供漏洞修补方案，建议用户及时关注