极狐GitLab 正式发布安全补丁版本 17.6.2、17.5.4、 17.4.6

本分分享极狐GitLab 补丁版本 17.6.2, 17.5.4, 17.4.6 的详细内容。这几个版本包含重要的缺陷和安全修复代码，我们强烈建议所有私有化部署用户应该立即升级到上述的某一个版本。对于极狐GitLab SaaS，技术团队已经进行了升级，无需用户采取任何措施。

参考资料

  • GitLab 专业升级服务
  • GitLab 升级路径查看
  • GitLab 版本漏洞查看

漏洞详情

file

CVE-2024-11274

在 Kubernetes 代理响应中的网络错误日志注入可能会导致会话数据的泄露。影响从 16.1 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 8.7）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8114。

CVE-2024-8233

此漏洞下，攻击者可以在代码提交或者合并请求中利用对差异文件的请求来制造 DoS 攻击。影响从 9.4 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8237。

CVE-2024-12570

此漏洞下，攻击者可能会利用受害者的 CI_JOB_TOKEN来获取属于受害者的极狐GitLab 会话。影响从 13.7 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L, 6.7）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-12570。

CVE-2024-9387

此漏洞下，攻击者可为给定的 release API 端点执行开放重定向。影响从 11.8 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N, 6.4）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9387。

CVE-2024-8647

私有化部署安装中，当开启了 Harbor 集成时，可能获奖 CSRF 令牌泄漏给外部站点。影响从 15.2 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N, 5.4）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8647。

CVE-2024-8179

如没有开启内容安全策略，则不正确的输出解码可能会导致 XSS 攻击。影响从 17.3 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N, 5.4）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8179。

CVE-2024-8116

通过使用特定的 Graph 查询，在特定条件下未认证的用户可以获取分支名称。影响从 16.9 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, 5.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8116。

CVE-2024-8650

该漏洞下，在公开项目的合并请求中允许非成员用户查看未解决的主题并将此标记为内部注释。影响从 15.0 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, 5.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8650。

CVE-2024-9367

该漏洞下，攻击者可能会导致不受控的资源消耗，且当将模板解析为生成式变更日志时，可能会导致 DoS 攻击。影响从 13.9 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L, 4.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9367。

CVE-2024-12292

该漏洞下，在 GraphQL mutation 中传递的敏感信息可能会在 GraphQL 日志中获得。影响从 11.0 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, 4.0）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-12292。

CVE-2024-10043

该漏洞允许群组用户通过 Wiki 历史差异功能来查看机密事件信息，从而导致潜在的信息泄露。影响从 14.3 开始到 17.4.6 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N, 3.1）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-10043。

CVE-2024-9633

该漏洞允许攻击者创建和既有的独特 Pages 域名相同的群组，从而导致域名困惑攻击。影响从 16.3 开始到 17.4.2 之前的所有版本、从 17.5 开始到 17.5.4 之前的所有版本以及从 17.6 开始到 17.6.2 之前的所有版本 。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L, 3.1）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9633。

影响版本

CVE-2024-11274

  • 16.1 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-8233

  • 9.4 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-12570

  • 13.7 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-9387

  • 11.8 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-8647

  • 15.2 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-8179

  • 17.3 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-8116

  • 16.9 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-8650

  • 15.0 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-9367

  • 13.9 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-12292

  • 11.0 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-10043

  • 14.3 <= GitLab CE/EE/JH < 17.4.6
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

CVE-2024-9633

  • 16.3 <= GitLab CE/EE/JH < 17.4.2
  • 17.5 <= GitLab CE/EE/JH < 17.5.4
  • 17.6 <= GitLab CE/EE/JH < 17.6.2

升级前提

版本查看

有多种方法可以查看当前 GitLab/极狐GitLab 版本信息的方法，下面推荐两种常用方法：

第一种：

直接在 GitLab/极狐GitLab 实例 URL 后面加上 /help 即可查看，比如当前实例的地址为 jihulab.com，那么在浏览器中输入 jihulab.com/help 即可查看到对应的版本信息；

第二种：

对于私有化部署用户来说，如果是管理员可以通过管理中心 --> 仪表盘 --> 组件中心可以看到对应的版本信息。

升级路径查看

GitLab/极狐GitLab 的升级必须严格遵守升级路径，否则很容易出现问题。升级路径查看链接：https://gitlab.cn/support/toolbox/upgrade-path/。输入当前版本信息（上一步中的查询结果），选择升级的目标版本，即可获取完整升级路径。

升级指南

我们强烈建议所有受以下问题描述所影响的安装实例尽快升级到最新版本。当没有指明产品部署类型的时候（omnibus、源代码、helm chart 等），意味着所有的类型都有影响。

对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab 17.6.2-jh、17.5.4-jh、17.4.6-jh 版本即可修复该漏洞。

Omnibus 安装

使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。

Docker 安装

使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述三个版本：

registry.gitlab.cn/omnibus/gitlab-jh:17.6.2-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.5.4-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.4.6-jh.0

升级详情可以查看极狐GitLab Docker 安装升级文档。

Helm Chart 安装

使用云原生安装的实例，可将使用的 Helm Chart 升级到 8.6.1(对应 17.6.1-jh）、8.5.3（对应 17.5.3-jh）、8.4.5（对应 17.4.5-jh）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

file

对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。

极狐GitLab 技术支持

极狐GitLab 技术支持团队对付费客户GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket 将问题提交。

如果您是免费用户，在升级过程中遇到任何问题，可以咨询 GitLab 专业升级服务。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/940218.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

在window环境下安装openssl生成钥私、证书和签名，nodejs利用express实现ssl的https访问和测试

在window环境下安装openssl生成钥私、证书和签名，nodejs利用express实现ssl的https访问和测试

在生成我们自己的 SSL 证书之前&#xff0c;让我们创建一个简单的 Express应用程序。 要创建一个新的 Express 项目&#xff0c;让我们创建一个名为node-ssl -server 的目录&#xff0c;用终端cmd中进入node-ssl-server目录。 cd node-ssl-server 然后初始化一个新的 npm 项目…
阅读更多...
CTFHub ssrf

CTFHub ssrf

第一关&#xff08;内网访问&#xff09; 尝试访问位于127.0.0.1的flag.php吧 第二关(伪协议读取文件) 尝试去读取一下Web目录下的flag.php吧 1.首先尝试http://127.0.0.1/flag.php 2.查看页面源代码 3.根据提示输入file:///var/www/html/flag.php 4.查看页面源代码 第三关&…
阅读更多...
vue3+vite一个IP对站点名称的前端curd更新-会议系统优化

vue3+vite一个IP对站点名称的前端curd更新-会议系统优化

vue3-tailwind-todo https://github.com/kgrg/vue3-tailwind-todo 基于这个项目,把ip到sta的映射做了前端管理. 核心代码是存储和获得的接口,需要flask提供. def redis2ipdic():global ipdicipdic.clear()tmdiccl.hgetall(IPDIC_KEY)for k in tmdic.keys():ipdic[k.decode() …
阅读更多...
idea无法识别文件，如何把floder文件恢复成model

idea无法识别文件，如何把floder文件恢复成model

前景&#xff1a; 昨天&#xff0c;我在之前的A1214模块包下新增了一个demo类&#xff0c;然后又新建了一个A1216模块&#xff0c;写了算法题&#xff0c;后面打算用git提交&#xff0c;发现之前的A1214模块下的demo类和新建的模块源文件都已经被追踪了&#xff0c;都是绿色的&…
阅读更多...
如何调大unity软件的字体

如何调大unity软件的字体

一、解决的问题&#xff1a; unity软件的字体太小&#xff0c;怎么调大点&#xff1f;二、解决方法&#xff1a; 1.操作步骤&#xff1a; 打开Unity编辑器> Edit>preferences> UI Scaling>Use custom scaling value&#xff08;取消勾选“使用默认桌面设置”&…
阅读更多...
冯诺依曼架构与哈佛架构的对比与应用

冯诺依曼架构与哈佛架构的对比与应用

冯诺依曼架构&#xff08;Von Neumann Architecture&#xff09;&#xff0c;也称为 冯诺依曼模型&#xff0c;是由著名数学家和计算机科学家约翰冯诺依曼&#xff08;John von Neumann&#xff09;在1945年提出的。冯诺依曼架构为现代计算机奠定了基础&#xff0c;几乎所有现代…
阅读更多...
实操给桌面机器人加上超拟人音色

实操给桌面机器人加上超拟人音色

前面我们讲了怎么用CSK6大模型开发板做一个桌面机器人充当AI语音助理&#xff0c;近期上线超拟人方案&#xff0c;不仅大模型语音最快可以1秒内回复&#xff0c;还可以让我们的桌面机器人使用超拟人音色、具备声纹识别等能力&#xff0c;本文以csk6大模型开发板为例实操怎么把超…
阅读更多...
Fiddle突然抓不到虚拟机的地址

Fiddle突然抓不到虚拟机的地址

Fiddle不抓虚拟机的地址了 查看是否更换了ip地址,我是因为换了网络 更换正确的ip地址
阅读更多...
Flutter组件————AppBar

Flutter组件————AppBar

AppBar 是 Flutter 中用于创建应用程序顶部栏的组件&#xff0c;它遵循 Material Design 规范。 参数&#xff1a; 参数名称类型描述titleWidget设置 AppBar 中的标题文本或自定义标题小部件。automaticallyImplyLeadingbool决定是否自动添加返回按钮&#xff08;如果页面不是…
阅读更多...
【Java基础面试题025】什么是Java的Integer缓存池？

【Java基础面试题025】什么是Java的Integer缓存池？

回答重点 Java的Integer缓存池&#xff08;Integer Cache&#xff09;是为了提升性能和节省内存。根据实践发现大部分的数据操作都集中在值比较小的范围&#xff0c;因此缓存这些对象可以减少内存分配和垃圾回收的负担&#xff0c;提升性能 在 -128到127范围内的Integer对象会…
阅读更多...
【JavaEE初阶】线程 和 thread

【JavaEE初阶】线程 和 thread

本节⽬标 认识多线程 掌握多线程程序的编写 掌握多线程的状态 一. 认识线程&#xff08;Thread&#xff09; 1概念 1) 线程是什么 ⼀个线程就是⼀个 "执⾏流". 每个线程之间都可以按照顺序执⾏⾃⼰的代码. 多个线程之间 "同时" 执⾏着多份代码. 还…
阅读更多...
js 面试题

js 面试题

目录 Promise调用 Set 递归 有一个楼梯,每次可以走1个台阶或2个台阶&#xff0c;总共有几种走法 计算1~100之和 数组 求数组中最大值 迭代(遍历)数组 扁平化数组 使用flat toString() 手写递归 使用while 数组倒序 对象 对象属性遍历 扁平化对象 Promise调用 …
阅读更多...
在租用服务器上配置环境

在租用服务器上配置环境

使用的是并行计算云&#xff0c;现在有活动&#xff0c;可以用到明年3月多。50元入会&#xff0c;有500元的卷。 注册完会员后&#xff0c;按照图里说的领卷即可&#xff0c;卷会发送到邮箱里&#xff0c;按照要求兑换就好。下面是具体使用流程。 可以在不开机的情况下&#…
阅读更多...
run postinstall error, please remove node_modules before retry!

run postinstall error, please remove node_modules before retry!

下载 node_modules 报错&#xff1a;run postinstall error, please remove node_modules before retry! 原因&#xff1a;node 版本出现错误&#xff0c;我的项目之前是在 12 下运行的。解决方法&#xff1a; 先卸载node_modules清除缓存将node版本切换到12重新下载即可
阅读更多...
基于蓝牙通信的手机遥控智能灯（论文+源码）

基于蓝牙通信的手机遥控智能灯（论文+源码）

1.系统设计 灯具作为人们日常生活的照明工具为人们生活提供光亮&#xff0c;本次基于蓝牙通信的手机遥控智能灯设计功能如下&#xff1a; &#xff08;1&#xff09;用户可以通过蓝牙通信模块的作用下&#xff0c;在手机端遥控切换智能灯不同的工作模式&#xff1b; &#x…
阅读更多...
IDEA搭建SpringBoot，MyBatis，Mysql工程项目

IDEA搭建SpringBoot，MyBatis，Mysql工程项目

目录 一、前言 二、项目结构 三、初始化项目 四、SpringBoot项目集成Mybatis编写接口 五、代码仓库 一、前言 构建一个基于Spring Boot框架的现代化Web应用程序&#xff0c;以满足[公司/组织名称]对于[业务需求描述]的需求。通过利用Spring Boot简化企业级应用开发的优势&…
阅读更多...
[HNCTF 2022 Week1]你想学密码吗？

[HNCTF 2022 Week1]你想学密码吗？

下载附件用记事本打开 把这些代码放在pytho中 # encode utf-8 # python3 # pycryptodemo 3.12.0import Crypto.PublicKey as pk from hashlib import md5 from functools import reducea sum([len(str(i)) for i in pk.__dict__]) funcs list(pk.__dict__.keys()) b reduc…
阅读更多...
OneCode：开启高效编程新时代——企业定制出码手册

OneCode：开启高效编程新时代——企业定制出码手册

一、概述 OneCode 的 DSM&#xff08;领域特定建模&#xff09;出码模块是一个强大的工具&#xff0c;它支持多种建模方式&#xff0c;并具有强大的模型转换与集成能力&#xff0c;能够提升开发效率和代码质量&#xff0c;同时方便团队协作与知识传承&#xff0c;还具备方便的仿…
阅读更多...
【UE5】pmx导入UE5，套动作。（防止“气球人”现象。

【UE5】pmx导入UE5，套动作。（防止“气球人”现象。

参考视频&#xff1a;UE5Animation 16: MMD模型與動作導入 (繁中自動字幕) 问题所在&#xff1a; 做法记录&#xff08;自用&#xff09; 1.导入pmx&#xff0c;删除这两个。 2.转换给blender&#xff0c;清理节点。 3.导出时&#xff0c;内嵌贴图&#xff0c;选“复制”。 …
阅读更多...
[x86 ubuntu22.04]投影模式选择“只使用外部”，外部edp屏幕无背光

[x86 ubuntu22.04]投影模式选择“只使用外部”，外部edp屏幕无背光

1 问题描述 CPU&#xff1a;G6900E OS&#xff1a;ubuntu22.04 Kernel&#xff1a;6.8.0-49-generic 系统下有两个一样的 edp 屏幕&#xff0c;投影模式选择“只使用外部”&#xff0c;内部 edp 屏幕灭&#xff0c;外部 edp 屏幕无背光。DP-1 是外部 edp 屏幕&#xff0c;eDP-1…
阅读更多...
最新文章

Copyright @ 2022~2023