Gitlab 存在 Pipeline 任意用户执行风险(CVE-2024-5762绕过)-低调大师

Gitlab 存在 Pipeline 任意用户执行风险(CVE-2024-5762绕过)

2024-07-11 388 89

漏洞描述

GitLab 是基于Git的集成软件开发平台，Pipeline 是自动化的工作流，用于在代码库修改时自动化执行任务。

由于对 CVE-2024-5762 的修复不充分，如果目标分支已被删除，当目标Gitlab仓库合并攻击者可控的Merge Request时可以其它用户的身份运行 Pipeline，导致信息泄露或未授权的代码执行。

补丁版本当检测到目标分支被删时不自动创建新的 Pipeline，触发合并检查修复此漏洞。

漏洞名称	Gitlab 存在 Pipeline 任意用户执行风险(CVE-2024-5762绕过)
漏洞类型	身份验证不当
发现时间	2024-07-11
漏洞影响广度	-
MPS编号	MPS-eni3-ztyc
CVE编号	CVE-2024-6385
CNVD编号	-

影响范围

gitlab@[15.8, 16.11.6)

gitlab@[17.0, 17.0.4)

gitlab@[17.1, 17.1.2)

修复方案

将组件 gitlab 升级至 17.1.2 及以上版本

将组件 gitlab 升级至 16.11.6 及以上版本

将组件 gitlab 升级至 17.0.4 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-eni3-ztyc

https://nvd.nist.gov/vuln/detail/CVE-2024-6385

https://about.gitlab.com/releases/2024/07/10/patch-release-gitlab-17-1-2-released

https://github.com/gitlabhq/gitlabhq/commit/4b798c79a7a6408184ea8bb6bec59d80fccd6968

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/301591

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2024-07-11 17:42:00

一款超级强大的 ORM 框架 mybatis-mp 1.5.9 正式发布！！！

官方文档：https://mybatis-mp.cn 1.5.9 正式发布 1：增加 json字段对应的typeHandler 2：优化了maven依赖 3：@TableField 增加 insert 开关 4：新增saveOrUpdate 5：优化DaoImpl，让继承者更容易扩展 6：Methods 增加count1()/countAll()方法 7：Methods count方法增加distinct功能 8：消除 idea 警告 9：加强参数typehandler结合 10：修复修改默认值失效问题 10 大与众不同的亮点： 1：mybatis-mp-亮点一：可自定义动态默认值2：mybatis-mp-亮点二：支持不同数据库 ID 自增配置3：mybatis-mp-亮点三：逻辑删除，可自动填充删除时间4：mybatis-mp-亮点四：可自定义 sql（sql 模板）5：mybatis-mp-亮点五：mapWithKey（把查询转成一个map）6：mybatis-mp-亮点六：部分字段新增和修改7：mybatis-mp-亮点七：枚举的良好支持8：mybatis-mp-亮点八：myb...

183

2024-07-11 15:05:00

微软和苹果放弃 OpenAI 董事会观察员席位

英国《金融时报》最新报道称，在 OpenAI 面临监管审查之际，微软公司和苹果公司已决定不再加入该公司的董事会。微软是 OpenAI 的最大投资者，在去年 11 月获得了其董事会观察员席位，并于本周二宣布放弃了这一职位。此前曾有报道称苹果将担任 OpenAI 董事会观察员，但消息称苹果公司也已经改变了主意。微软副总法律顾问 Keith Dolliver 在周二晚些时候发出的一封信中向 OpenAI 通报了该公司退出董事会的计划。“在过去八个月里，我们见证了新成立的董事会取得的重大进展，我们对公司的发展方向充满信心。考虑到这一切，我们不再认为我们作为观察员的有限角色是必要的。” OpenAI 发言人则表示：“我们感谢微软对董事会和公司发展方向的信心，我们期待继续成功的合作。” 目前，OpenAI 正面临美国和欧盟反垄断监管机构的审查，其中与微软的合作尤其受到关注。《华尔街日报》6 月初报道称，美国联邦贸易委员会正在调查这两家公司的合作关系，他们担心微软可能会在不引起监管部门注意的情况下安排这笔交易，从而获得对 OpenAI 的控制权。当月晚些时候，欧盟最高竞争官员透露，欧盟可能会...

271

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Apache Tomcat7、8、9（Java Web服务器）

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。