GitLab再曝严重漏洞，黑客可接管用户账号执行管道作业

GitLab今天发出警告称，其产品中的GitLab社区版和企业版存在一个严重漏洞，允许攻击者以其他任何用户的身份运行管道作业。

GitLab DevSecOps平台拥有超过3000万注册用户，并被包括T-Mobile、高盛、空中客车、洛克希德·马丁、英伟达和瑞银集团在内的超过50%的《财富》100强公司使用。

今天发布的安全更新中修复了该漏洞，该漏洞被追踪为CVE-2024-6385，其CVSS基础评分严重性等级为10分中的9.6分。

该漏洞影响GitLabCE/EE的所有版本，从15.8到16.11.6、17.0到17.0.4以及17.1到17.1.2。在GitLab尚未披露的某些情况下，攻击者可以利用该漏洞以任意用户的身份触发新的管道。

GitLab管道是持续集成/持续部署（CI/CD）系统的一个功能，允许用户自动并行或顺序运行进程和任务，以构建、测试或部署代码更改。

为解决这一严重安全漏洞，该公司发布了GitLab社区版和企业版的17.1.2、17.0.4和16.11.6版本，并建议所有管理员立即升级所有安装。

“我们强烈建议所有运行受以下所述问题影响的版本的安装尽快升级到最新版本，”该公司警告称。“GitLab.com和GitLabDedicated已经运行了修补后的版本。”

Gitlab接连爆出账户接管漏洞

GitLab在6月底修补了一个几乎相同的漏洞（追踪为CVE-2024-5655），该漏洞同样可以被利用来以其他用户的身份运行管道。

一个月前，GitLab还修复了一个高危漏洞（CVE-2024-4835），该漏洞使未经身份验证的威胁行为者能够在跨站脚本（XSS）攻击中接管账户。

正如CISA在5月警告的那样，威胁行为者还在积极利用另一个在一月份修补的GitLab零点击漏洞（CVE-2023-7028）。该漏洞允许未经身份验证的攻击者通过密码重置来劫持账户。

虽然Shadowserver在1月份发现了5,300多个暴露在线上的易受攻击的GitLab实例，但今天只有不到一半（1,795个）仍然可以访问。

攻击者瞄准GitLab是因为它托管了包括API密钥和专有代码在内的各种敏感企业数据，一旦遭到入侵，将带来重大的安全影响。

这包括供应链攻击，即如果威胁行为者在CI/CD（持续集成/持续部署）环境中插入恶意代码，将危及被入侵组织的存储库。

文章来源：https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-bug-that-lets-attackers-run-pipelines-as-an-arbitrary-user/‍，由网安加社区编译。