GitLab曝出严重漏洞，黑客可以任意身份运行管道

本周四GitLab发布警告称GitLab社区版（CE）和企业版（EE）中发现一个严重的账户接管漏洞，攻击者可以任何其他用户的身份运行管道任务。GitLab同时发布了GitLab Community and Enterprise版本17.1.2、17.0.4和16.11.6以修补该漏洞，并建议所有管理员立即升级所有安装。

GitLab DevSecOps平台拥有超过3000万注册用户，被超过50%的财富100强企业使用，包括T-Mobile、高盛、空客、洛克希德马丁、英伟达和瑞银等。

GitLab今天发布的安全更新中修补的漏洞编号为CVE-2024-6385，CVSS严重性评分高达9.6分（满分10分）。

该漏洞会影响从15.8到16.11.6、17.0到17.0.4和17.1到17.1.2的所有GitLabCE/EE版本，攻击者可以利用它来以任意用户的身份触发新的管道。

GitLab管道是一个持续集成/持续部署（CI/CD）系统功能，允许用户自动并行或顺序运行流程和任务，以开发、测试或部署代码更改。

“我们强烈建议所有运行受下述问题影响的版本的安装尽快升级到最新版本，”GitLab警告说：“GitLab.com和GitLab Dedicated已经在运行补丁版本了。”

今年上半年GitLab接连曝出账户接管漏洞，其中一些已经在野外被积极利用。

GitLab在6月下旬刚刚修补了一个几乎相同的账户接管漏洞（跟踪为CVE-2024-5655），该漏洞也可被攻击者利用以其他用户的身份运行管道。

一个月前，GitLab还修复了另外一个高严重性漏洞（CVE-2024-4835），该漏洞使未经身份验证的攻击者能够通过跨站点脚本（XSS）攻击接管帐户。

CISA在5月份曾警告称，攻击者也在积极利用1月份修补的另一个零点击GitLab漏洞（CVE-2023-7028）。此漏洞允许未经身份验证的攻击者通过密码重置劫持帐户。

Shadowserver在1月份发现了超过5300个易受攻击的GitLab实例，但今天仍然可以访问的只有不到一半（1795个）。

攻击者热衷以GitLab为目标，因为后者托管各种类型的敏感企业数据，包括API密钥和专有代码，泄露后往往造成重大安全影响。例如，攻击者可在CI/CD（持续集成/持续部署）环境中插入恶意代码，从而危及被破坏组织的代码库，进而实施供应链攻击。

参考链接：

https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-bug-that-lets-attackers-run-pipelines-as-an-arbitrary-user/