Gitlab 存在 Pipeline 任意用户执行风险(CVE-2024-5762绕过)
漏洞描述 GitLab 是基于Git的集成软件开发平台,Pipeline 是自动化的工作流,用于在代码库修改时自动化执行任务。 由于对 CVE-2024-5762 的修复不充分,如果目标分支已被删除,当目标Gitlab仓库合并攻击者可控的Merge Request时可以其它用户的身份运行 Pipeline,导致信息泄露或未授权的代码执行。 补丁版本当检测到目标分支被删时不自动创建新的 Pipeline,触发合并检查修复此漏洞。 漏洞名称 Gitlab 存在 Pipeline 任意用户执行风险(CVE-2024-5762绕过) 漏洞类型 身份验证不当 发现时间 2024-07-11 漏洞影响广度 - MPS编号 MPS-eni3-ztyc CVE编号 CVE-2024-6385 CNVD编号 - 影响范围 gitlab@[15.8, 16.11.6) gitlab@[17.0, 17.0.4) gitlab@[17.1, 17.1.2) 修复方案 将组件 gitlab 升级至 17.1.2 及以上版本 将组件 gitlab 升级至 16.11.6 及以上版本 将组件 gitlab 升级至...
