近日，GitLab 發布了社區版（CE）和企業版（EE）的安全更新，以解決八個安全漏洞，其中包括一個可能允許在任意分支上運行持續集成和持續交付（CI/CD）管道的關鍵漏洞。該漏洞被跟蹤為 CVE-2024-9164，CVSS 得分為 9.6（滿分 10 分），攻擊者可以在某些情況下以任意用戶身份觸發Pipeline，可能導致權限提升或執行惡意操作 。

GitLab 在一份公告中說："在 GitLab EE 中發現了一個漏洞，影響了從 12.5 開始到 17.2.9 之前的所有版本、從 17.3 開始到 17.3.5 之前的所有版本，以及從 17.4 開始到 17.4.2 之前的所有版本。目前，GitLab CE/EE 17.1.7，17.2.5，17.3.2及以上版本已修復該漏洞。

在其余七個問題中，四個被評為嚴重程度高，兩個被評為嚴重程度中，一個被評為嚴重程度低：

• CVE-2024-8970（CVSS 得分：8.2），允許攻擊者在某些情況下以其他用戶身份觸發管道
• CVE-2024-8977（CVSS 得分：8.2），允許在配置并啟用產品分析儀表板的 GitLab EE 實例中進行 SSRF 攻擊
• CVE-2024-9631 (CVSS score: 7.5)，可導致在查看有沖突的合并請求的差異時速度變慢
• CVE-2024-6530 （CVSS 得分：7.3），由于跨站點腳本問題，當授權新應用程序時，會在 OAuth 頁面中注入 HTML

近幾個月來，GitLab 不斷披露與管道相關的漏洞，該公告是其中的最新進展。

近期歷史漏洞回顧

GitLab近期頻繁披露與管道相關的漏洞，此次更新只是其中的一部分。

上個月，GitLab修復了另一個關鍵漏洞（CVE-2024-6678，CVSS得分：9.9），該漏洞允許攻擊者以任意用戶身份運行管道作業。

此前，GitLab還修補了其他三個類似的缺陷——CVE-2023-5009（CVSS得分：9.6）、CVE-2024-5655（CVSS得分：9.6）和CVE-2024-6385（CVSS得分：9.6）。

盡管目前沒有證據表明這些漏洞已被主動利用，但GitLab強烈建議用戶將其實例更新至最新版本，以確保系統安全并防范潛在威脅。定期更新和監控是保護關鍵基礎設施免受攻擊的重要措施。

GitLab的安全更新反映了當前軟件安全環境的動態性，企業需保持警惕并及時響應安全公告，以維護其數字資產的安全。