GitLab 身份验证漏洞(CVE-2024-5655)
日期：2024-06-28 10:02:32 发布人：信息化建设中心 浏览量：466
一、漏洞概要
漏洞名称 | GitLab 身份验证漏洞(CVE-2024-5655) |
发布时间 | 2024年6月28日 |
组件名称 | 极狐-GitLab代码托管平台 |
影响范围 | 15.8.0 ≤ GitLab CE/EE < 16.11.517.0.0 ≤ GitLab CE/EE < 17.0.317.1.0 ≤ GitLab CE/EE < 17.1.1 |
漏洞类型 | 身份验证漏洞 |
利用条件 | 1、用户认证：需要用户认证 2、前置条件：默认配置 3、触发方式：远程 |
综合评价 | <综合评定利用难度>：容易，能绕过访问控制。 <综合评定威胁等级>：严重，能绕过访问控制。 |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
GitLab 是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的Web服务。
2.2 漏洞描述
2024年6月28日，深瞳漏洞实验室监测到一则极狐-GitLab代码托管平台组件存在身份验证漏洞的信息，漏洞编号：CVE-2024-5655，漏洞威胁等级：严重。
GitLab 社区版（CE）和企业版（EE）存在身份验证漏洞，在某种情况下攻击者可以利用其他用户身份触发pipeline，导致身份验证被绕过。
三、影响范围
目前受影响的极狐-GitLab代码托管平台版本：
15.8.0 ≤ GitLab CE/EE < 16.11.5
17.0.0 ≤ GitLab CE/EE < 17.0.3
17.1.0 ≤ GitLab CE/EE < 17.1.1
官方修复建议
gitlab官方已发布最新版本修复该漏洞，受影响用户可升级到安全版本