GitLab严重漏洞（CVE-2024-6385，CVSS评分9.6）攻击者可以以其他用户身份运行管道作业

GitLab 今天警告称，其产品 GitLab 社区版和企业版中存在一个严重漏洞，允许攻击者像任何其他用户一样运行管道作业。

GitLab DevSecOps 平台拥有超过 3000 万注册用户，并被超过 50% 的财富 100 强公司使用，其中包括 T-Mobile、高盛、空中客车、洛克希德马丁、Nvidia 和瑞银。

今天的安全更新中修补的漏洞编号为CVE-2024-6385，其 CVSS 基本评分严重性评级为 9.6（满分 10 分）。

该漏洞影响 GitLab CE/EE 的所有版本，从 15.8 到 16.11.6、17.0 到 17.0.4 以及 17.1 到 17.1.2。在 GitLab 尚未披露的某些情况下，攻击者可以利用该漏洞以任意用户身份触发新管道。

GitLab 管道是一种持续集成/持续部署 (CI/CD) 系统功能，允许用户自动并行或按顺序运行流程和任务来构建、测试或部署代码更改。

该公司发布了 GitLab 社区版和企业版 17.1.2、17.0.4 和 16.11.6 来解决这一严重的安全漏洞，并建议所有管理员立即升级所有安装。

GitLab 安全公告（https://about.gitlab.com/releases/2024/07/10/patch-release-gitlab-17-1-2-released/#an-attacker-can-run-pipeline-jobs-as-an-arbitrary-user）中警告说：“我们强烈建议所有运行受下述问题影响的版本的安装尽快升级到最新版本。”“GitLab.com 和 GitLab Dedicated 已经在运行修补版本。”

GitLab安全漏洞被攻击者积极利用

GitLab 在 6 月底修补了一个几乎相同的漏洞（追踪为CVE-2024-5655），该漏洞也可以被利用以其他用户的身份运行管道。

一个月前，它修复了一个高严重性漏洞（CVE-2024-4835），该漏洞允许未经身份验证的攻击者通过跨站点脚本（XSS）攻击接管帐户。

正如 CISA在 5 月份警告的那样，黑客还在积极利用 1 月份修补的另一个零点击 GitLab 漏洞 ( CVE-2023-7028 )。此漏洞允许未经身份验证的攻击者通过密码重置劫持帐户。

尽管 Shadowserver在 1 月份发现有超过 5,300 个易受攻击的 GitLab 实例在线暴露，但目前仍可访问的还不到一半（1,795 个） 。

攻击者之所以将 GitLab 作为目标，是因为它托管了各种类型的敏感公司数据，包括 API 密钥和专有代码，因此一旦遭到入侵，将会带来严重的安全影响。

如果攻击者在 CI/CD（持续集成/持续部署）环境中插入恶意代码，从而危及受感染组织的存储库，则包括供应链攻击。

参考链接：

https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-bug-that-lets-attackers-run-pipelines-as-an-arbitrary-user/

讲述普通人能听懂的安全故事