GitLab访问控制不当漏洞（CVE-2024-6678）

admin
admin
admin
138643
文章
114
评论
2024年9月13日02:21:14评论88 views字数 824阅读2分44秒阅读模式
近日，安全聚实验室监测到 GitLab 存在访问控制不当漏洞，编号为：CVE-2024-6678，漏洞评分：9.9  此漏洞允许攻击者在某些情况下以任意用户身份触发Pipeline，从而可能导致权限提升或执行恶意操作。
01 漏洞描述
VULNERABILITY DESC.

GitLab 是一个开源的 DevOps 平台，分为社区版 (GitLab CE) 和企业版 (GitLab EE) 两个版本。GitLab CE 提供了基本的代码管理、CI/CD、项目管理等功能，适合个人开发者和小团队使用。而 GitLab EE 则在此基础上增加了更多高级功能，如更强大的安全性功能、高级 CI/CD 功能、高级监控等，适合中大型企业和需要更多扩展功能的团队使用。GitLab CE 和 GitLab EE 均致力于帮助团队实现全面的 DevOps 自动化，提高软件开发和交付效率。GitLab版本中存在访问控制不当漏洞，允许攻击者在某些情况下以任意用户身份触发Pipeline，从而可能导致权限提升或执行恶意操作。

02 影响范围
IMPACT SCOPE

8.14 <= GitLab CE/EE < 17.1.7
17.2 <= GitLab CE/EE < 17.2.5
17.3 <= GitLab CE/EE < 17.3.2

03 安全措施
SECURITY MEASURES
目前厂商已发布可更新版本，建议用户尽快更新至 GitLab 的修复版本或更高的版本：

GitLab CE/EE >= 17.1.7
GitLab CE/EE >= 17.2.5
GitLab CE/EE >= 17.3.2

下载链接：
https://about.gitlab.com/update

04 参考链接
REFERENCE LINK

1.https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/

原文始发于微信公众号（安全聚）：【漏洞预警】GitLab访问控制不当漏洞（CVE-2024-6678）

 

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年9月13日02:21:14
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   GitLab访问控制不当漏洞（CVE-2024-6678）https://cn-sec.com/archives/3160257.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息