极狐GitLab 发布安全补丁版本 17.4.2, 17.3.5, 17.2.9

头像
极狐GitLab
     辽宁
    阅读 5 分钟

    本分分享极狐GitLab 补丁版本 17.4.2, 17.3.5, 17.2.9 的详细内容。

    极狐GitLab 正式推出面向 GitLab 老旧版本免费用户的专业升级服务【https://dl.gitlab.cn/xemzy70j】，可以帮助用进行老旧版本的丝滑可靠升级。

    相关阅读

    今天，极狐GitLab 专业技术团队正式发布了 17.4.2, 17.3.5, 17.2.9 版本。这几个版本包含重要的缺陷和安全修复代码，我们强烈建议所有私有化部署用户应该立即升级到上述的某一个版本。对于极狐GitLab SaaS，技术团队已经进行了升级，无需用户采取任何措施。

    漏洞详情

    标题严重程度CVE ID
    在任意分支上运行流水线严重CVE-2024-9164
    攻击者可以伪装成任意用户高CVE-2024-8970
    分析仪表盘中的 SSRF 漏洞高CVE-2024-8977
    在具有冲突的 MR 中查看差异（diff）可能会很慢高CVE-2024-9631
    OAuth 页面中的 HTMLi高CVE-2024-6530
    部署密钥会推送变更到归档仓库中CVE-2024-9623
    访客（Guests）能够泄露项目模版中CVE-2024-5005
    极狐GitLab 实例版本被泄露给未授权用户低CVE-2024-9596

    CVE-2024-9164

    在该漏洞下，可以在任意分支上运行流水线。影响从 12.5 开始到 17.2.9 之前的所有版本、从 17.3 开始到 17.3.5 之前的所有版本以及从 17.4 开始到 17.4.2 之前的所有版本 。这是一个严重级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, 9.6）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9164。

    CVE-2024-8970

    在该漏洞下，攻击者可以在特定环境下以其他用户的身份来运行流水线。影响从 11.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

    CVE-2024-8977

    在该漏洞下，配置且开启了生产力分析仪表盘的实例可能会遭受 SSRF 攻击。影响从 15.10 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

    CVE-2024-9631

    在该漏洞下，如果在具有冲突的 MR 中查看差异（diff）就会变得很慢。影响从 13.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9631。

    CVE-2024-6530

    在该漏洞下，在特定情况下，授权一个新应用时，它可能会被渲染为 HTML。影响从 17.1 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-6530。

    CVE-2024-9623

    在该漏洞下，允许部署密钥向归档仓库推送变更。影响从 8.16 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9623。

    CVE-2024-5005

    在该漏洞下，访客可能会使用 API 来泄露项目模版。影响从 11.4 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-5005。

    CVE-2024-9596

    在漏洞下，极狐GitLab 的版本信息可能会泄露给未授权的用户。影响从 16.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个低等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N, 3.7）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9596。

    受影响版本

    CVE-2024-9164

    • 12.5 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-8970

    • 11.6 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-8977

    • 15.10 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-9631

    • 13.6 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-6530

    • 17.1 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-9623

    • 8.16 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-5005

    • 11.4 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5

    • 17.4 <= GitLab CE/EE/JH < 17.4.2

      CVE-2024-9596

    • 16.6 <= GitLab CE/EE/JH < 17.2.9
    • 17.3 <= GitLab CE/EE/JH < 17.3.5
    • 17.4 <= GitLab CE/EE/JH < 17.4.2

    建议的操作

    我们强烈建议所有受以下问题描述所影响的安装实例尽快升级到最新版本。当没有指明产品部署类型的时候（omnibus、源代码、helm chart 等），意味着所有的类型都有影响。

    对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab
    17.4.2-jh、17.3.5-jh、17.2.9-jh 版本即可修复该漏洞。详情可以查看极狐GitLab 官网

    • Omnibus 安装

    使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。

    • Docker 安装

    使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述三个版本：

    registry.gitlab.cn/omnibus/gitlab-jh:17.4.2-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.3.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.2.9-jh.0

    升级详情可以查看极狐GitLab Docker 安装升级文档。

    • Helm Chart 安装

    使用云原生安装的实例，可将使用的 Helm Chart 升级到 8.4.1(对应 17.4.1-jh）、8.3.4（对应 17.3.4-jh）、8.2.8（对应 17.2.8-jh）、8.0.8（对应 17.0.8）以及 7.11.10（对应 16.11.10）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

    JH 版本17.4.217.3.517.2.9
    Chart 版本8.4.28.3.58.2.9

    对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。

    极狐GitLab 技术支持

    极狐GitLab 技术支持团队对付费客户GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket将问题提交。

    如果您是免费用户，在升级过程中遇到任何问题，可以查看最新推出的GitLab 专业升级服务 获取专业服务！

    新版本修复的缺陷

    17.4.2

    • 回溯：修复：在 17-4-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
    • 回溯：修复：在 17.4 中将 grpc-go 从旧版本升级到 v1.67.1
    • 在 enable_advanced_sast_spec.rb 中更新预期的漏洞
    • 跳过稳定分支合并请求的多版本升级作业
    • 回溯：17.4 中修复了在查找时候通过名称来进行标签过滤
    • 在 ci_deleted_objects 中删除 project_id 不能为 null 的约束
    • [回溯] Go-get：修复未经认证请求的 401 错误

    17.3.5

    • 回溯：修复：在 17-3-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
    • 回溯：修复：在 17.3 中允许非 root 用户运行 bundle-certificates 脚本
    • 跳过稳定分支合并请求的多版本升级作业。
    • 确保受限的可见性级别是一个数组 - 17.2 版本回溯

    17.2.9

    • 跳过稳定分支合并请求的多版本升级作业
    • 确保受限的可见性级别是一个数组 - 17.2 版本回溯
    gitgitlab
    极狐GitLab
    64 声望36 粉丝

    极狐(GitLab) 以“核心开放”为原则，面向中国市场，提供开箱即用的开放式一体化安全DevOps平台——极狐GitLab。通过业界领先的优先级管理、安全、风险和合规性功能，实现产品、开发、QA、安全和运维团队间的高效协同...

    « 上一篇
    GitLab 12.x、13.x、14.x、15.x 等老旧版本如何升级？
    下一篇 »
    GitLab 发布安全补丁版本 17.3.2, 17.2.5, 17.1.7

    引用和评论

    推荐阅读
    头像
    GitLab 旗舰版的整体经济影响研究报告都说了什么？

    极狐GitLab

    头像
    记录本周遇到得问题---cd打包频繁失败

    吴季分赞 3阅读 239

    头像
    CentOS7 Docker安装Gitlab

    YYGP阅读 6.7k

    头像
    ABAP git客户端

    注销阅读 2.9k

    头像
    OAuth 2.0协议在SAP产品中的应用

    注销阅读 2.5k

    头像
    git tag 使用详解

    fuGUI赞 1阅读 605

    头像
    git回退错误的merge

    稀饭52赞 2阅读 241

    0 条评论
    得票最新