GitLab 身份验证漏洞(CVE-2024-5655)
日期:2024-06-28 10:02:32 发布人:信息化建设中心 浏览量:1
一、漏洞概要
漏洞名称 | GitLab 身份验证漏洞(CVE-2024-5655) |
发布时间 | 2024年6月28日 |
组件名称 | 极狐-GitLab代码托管平台 |
影响范围 | 15.8.0 ≤ GitLab CE/EE < 16.11.517.0.0 ≤ GitLab CE/EE < 17.0.317.1.0 ≤ GitLab CE/EE < 17.1.1 |
漏洞类型 | 身份验证漏洞 |
利用条件 | 1、用户认证:需要用户认证 2、前置条件:默认配置 3、触发方式:远程 |
综合评价 | <综合评定利用难度>:容易,能绕过访问控制。 <综合评定威胁等级>:严重,能绕过访问控制。 |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
GitLab 是一个用于仓库管理系统的开源项目,使用Git作为代码管理工具,并在此基础上搭建起来的Web服务。
2.2 漏洞描述
2024年6月28日,深瞳漏洞实验室监测到一则极狐-GitLab代码托管平台组件存在身份验证漏洞的信息,漏洞编号:CVE-2024-5655,漏洞威胁等级:严重。
GitLab 社区版(CE)和企业版(EE)存在身份验证漏洞,在某种情况下攻击者可以利用其他用户身份触发pipeline,导致身份验证被绕过。
三、影响范围
目前受影响的极狐-GitLab代码托管平台版本:
15.8.0 ≤ GitLab CE/EE < 16.11.5
17.0.0 ≤ GitLab CE/EE < 17.0.3
17.1.0 ≤ GitLab CE/EE < 17.1.1
官方修复建议
gitlab官方已发布最新版本修复该漏洞,受影响用户可升级到安全版本