GitLab创建工作区写入任意文件覆盖漏洞

漏洞概述

GitLab 再次发布安全补丁，修复其社区版 (CE) 和企业版 (EE) 中的一个严重安全漏洞，该漏洞可用于在创建工作区时写入任意文件。

此漏洞编号为 CVE-2024-0402，其 CVSS 评分为 9.9（满分 10 分）。

GitLab 在 2024 年 1 月 25 日发布的公告中表示：“已发现 GitLab CE/EE 中存在一个问题，影响所有低于 16.5.8、16.6.6、16.7.4 和 16.8.1 的版本，该漏洞允许经过身份验证的用户在创建工作区时将文件写入 GitLab 服务器上的任意位置。”

影响版本

• GitLab CE/EE 所有低于 16.5.8、16.6.6、16.7.4 和 16.8.1 的版本

安全风险

• 成功利用此漏洞的攻击者可以在 GitLab 服务器上写入任意文件，从而植入恶意代码、窃取敏感数据或破坏系统稳定性。

修复方案

• 立即升级您的 GitLab 实例到已修复漏洞的版本：
  • GitLab CE/EE 16.5.8
  • GitLab CE/EE 16.6.6
  • GitLab CE/EE 16.7.4
  • GitLab CE/EE 16.8.1
• 如果无法立即升级，请采取以下缓解措施：
  • 限制能够创建工作区的用户的权限。
  • 密切监控系统活动，并对可疑行为采取措施。