GitLab 近日发布了安全更新,修复了一个“关键”级别的高危漏洞,并敦促用户尽快升级。据悉 GitLab 社区版(CE)和企业版(EE),从 13.12 到 16.2.7 此前版本、16.3.4 此前的 16.3 版本均受影响。
这个漏洞由安全研究人员和漏洞猎人 Johan Carlsson 发现,最初是一个中等严重的漏洞,追踪编号为 CVE-2023-3932,官方于 8 月进行修复。
不过研究人员发现了新的方法了绕过保护,并验证了可以施加额外的影响,最新追踪编号为 CVE-2023-4998,在 CVSS 3.1 版本中得分为 9.6 分(满分 10 分,分数越高越危险)。
攻击者在用户不知情且没有权限的情况下,冒充用户进行管道任务(一系列自动化任务),从而获取敏感信息,或者冒充用户的权限来运行代码、修改数据或触发 GitLab 系统中的特定事件。
GitLab 社区和企业版 16.3.4 和 16.2.7 版本目前已经修复 CVE-2023-4998 漏洞,GitLab 敦促用户尽快升级。