关于GitLab访问控制不当漏洞（CVE-2024-6678）的安全预警

一、 基本情况

GitLab是一个用于仓库管理系统的开源项目，其使用Git作为代码管理工具，可通过Web界面访问公开或私人项目。

二、 漏洞描述

GitLab社区版（CE）和企业版（EE）中修复了一个访问控制不当漏洞（CVE-2024-6678），其CVSS评分为9.9，允许威胁者在某些情况下以任意用户身份触发GitLab的CI/CD管道，从而可能导致权限提升或执行恶意操作。

此外，GitLab EE中还修复了Product Analytics funnels YAML代码注入漏洞（CVE-2024-8640，CVSS评分8.5），由于输入过滤不当，可能导致将命令注入连接的Cube服务器；以及在GitLab EE中修复了一个服务器端请求伪造漏洞（CVE-2024-8635，CVSS评分7.7），可能导致威胁者使用自定义Maven Dependency Proxy URL向内部资源发出请求，获取敏感信息或执行其他恶意操作。

三、 影响范围

CVE-2024-6678

8.14 <= GitLab CE/EE < 17.1.7

17.2 <= GitLab CE/EE < 17.2.5

17.3 <= GitLab CE/EE < 17.3.2

CVE-2024-8640

16.11 <= GitLab EE < 17.1.7

17.2 <= GitLab EE < 17.2.5

17.3 <= GitLab EE < 17.3.2

CVE-2024-8635

16.8 <= GitLab EE < 17.1.7

17.2 <= GitLab EE < 17.2.5

17.3 <= GitLab EE < 17.3.2

四、 修复建议

目前这些漏洞已经修复，受影响用户可升级到GitLab CE/EE 17.3.2、17.2.5、17.1.7或更高版本。

下载链接：

https://about.gitlab.com/

五、 参考链接

https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/

https://nvd.nist.gov/vuln/detail/CVE-2024-6678