關(guān)鍵詞

安全漏洞

GitLab 近日為其 Community Edition 與 Enterprise Edition 推出關(guān)鍵安全更新，以解決多項高危漏洞。這些補丁已包含在 18.6.1、18.5.3 與 18.4.5 版本中，能夠防止攻擊者繞過認證、竊取憑證，或通過拒絕服務(wù)攻擊導(dǎo)致服務(wù)器崩潰。官方托管的 GitLab.com 已經(jīng)完成更新，而自建實例的管理員被強烈建議立即升級。

本輪修復(fù)中最受關(guān)注的是 CVE-2024-9183，這是一個發(fā)生在 CI/CD 緩存機制中的競爭條件漏洞。攻擊者只要擁有低權(quán)限賬號，就有機會在特定時機截獲更高權(quán)限用戶的憑證，從而進一步竊取管理員賬戶或執(zhí)行未授權(quán)操作。

另一項重要修復(fù)針對 CVE-2025-12571，這是一處會導(dǎo)致拒絕服務(wù)的嚴重缺陷。攻擊者無需賬號即可通過構(gòu)造惡意 JSON 請求讓 GitLab 實例崩潰，直接導(dǎo)致代碼倉庫無法訪問，嚴重影響組織的開發(fā)流程。

此次更新也修補了多項認證繞過問題，例如 CVE-2025-12653。在該漏洞中，未經(jīng)認證的用戶可通過修改網(wǎng)絡(luò)請求頭部繞過安全校驗，并加入任意組織，破壞訪問控制，同時影響企業(yè)結(jié)構(gòu)的安全性。

此外，多項中低危漏洞也一并得到處理，包括可導(dǎo)致服務(wù)器在處理特定 HTTP 響應(yīng)時報錯的缺陷、在企業(yè)版中可能泄露受限安全報告的授權(quán)問題，以及 Terraform Registry 記錄中可能暴露敏感令牌的日志泄漏。

GitLab 官方敦促所有運行受影響版本的用戶立即升級至 18.6.1、18.5.3 或 18.4.5。單節(jié)點實例在升級期間會因數(shù)據(jù)庫遷移產(chǎn)生停機，而多節(jié)點部署則可通過滾動方式實現(xiàn)零停機更新。

如果組織未及時更新，這些公開補丁將為攻擊者提供足夠線索，用于逆向構(gòu)造可用攻擊鏈，使系統(tǒng)面臨實際入侵風(fēng)險。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！