速更新！GitLab发布更新修复CVSS满分漏洞

一、 漏洞介绍

二、 基本情况

三、 漏洞描述

四、 影响范围

GitLab CE/EE 17.3.x < 17.3.3

GitLab CE/EE 17.2.x < 17.2.7

GitLab CE/EE 17.1.x < 17.1.8

GitLab CE/EE 17.0.x < 17.0.8

GitLab CE/EE 16.11.x < 16.11.10

OmniAuth-SAML和Ruby-SAML依赖项：

omniauth-saml <= 2.1.0

ruby-saml <= 1.12.2

1.13.0 <= ruby-saml <= 1.16.0

五、 修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

GitLab CE/EE 17.3.x >= 17.3.3

GitLab CE/EE 17.2.x >= 17.2.7

GitLab CE/EE 17.1.x >= 17.1.8

GitLab CE/EE 17.0.x >= 17.0.8

GitLab CE/EE 16.11.x >= 16.11.10

或将OmniAuth-SAML和Ruby-SAML依赖项升级到以下修复版本：

omniauth-saml：升级到2.2.1、2.1.2、1.10.5或更高版本

ruby-saml：升级到1.17.0、1.12.3或更高版本

下载链接：

https://about.gitlab.com/

六、临时缓解方案

对所有用户启用GitLab双因素身份验证且不勾选SAML双因素绕过选项。

七、 参考链接

https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/

https://github.com/SAML-Toolkits/ruby-saml/security/advisories/GHSA-jw9c-mfg7-9rx2

https://github.com/omniauth/omniauth-saml/security/advisories/GHSA-cvp8-5r8g-fhvq