GitLab 曝一严重漏洞，威胁软件开发管道
内容提要
GitLab发现了一个严重漏洞，可能允许攻击者以其他用户的身份运行管道。该漏洞影响多个版本，包括关键漏洞CVE-2024-5655。攻击者可以访问私有存储库并窃取敏感代码和数据。此漏洞尚未被利用，但可能会导致合规和安全风险。
延伸解读
漏洞影响范围与修复紧迫性
CVE-2024-5655影响GitLab多个版本，包括15.8至16.11.5、17.0至17.0.3以及17.1至17.1.1。攻击者可能以其他用户身份触发管道，进而访问私有存储库，窃取或外泄敏感代码和数据。尽管目前尚未发现野外利用证据，但GitLab已发布修复版本，用户应立即升级以消除风险。
合规风险可能比安全风险更直接
Synopsys的Jamie Boote指出，即使漏洞未被利用，使用易受攻击的GitLab版本构建软件也可能导致合规问题。美国商务部《安全软件开发证明表说明》第1c行要求执行多因素身份验证和条件访问，而该漏洞可能绕过这些控制，使公司难以满足要求，进而影响向美国政府销售软件和产品的合同。
与过往漏洞的对比及当前态势
与今年早些时候已被利用的CVE-2023-7028不同，CVE-2024-5655目前尚无在野利用证据。但GitLab未披露漏洞利用的具体条件，这意味着攻击者可能仍在寻找利用方式。企业不应因暂无利用报告而拖延修补，因为一旦被利用，可能导致CI/CD管道失常和敏感数据泄露。
Q&A
GitLab的严重漏洞是什么？
GitLab的严重漏洞允许攻击者以其他用户的身份运行管道，影响多个版本，关键漏洞CVE-2024-5655的CVSS得分为9.6。
该漏洞可能导致哪些安全风险？
该漏洞可能导致攻击者访问私有存储库，窃取敏感代码和数据，从而引发合规和安全风险。
GitLab建议用户如何应对这个漏洞？
GitLab建议用户立即修补易受攻击的版本，以避免CI/CD失常。
CVE-2024-5655漏洞影响哪些GitLab版本？
该漏洞影响的GitLab版本包括15.8到16.11.5，17.0到17.0.3，以及17.1到17.1.1。
该漏洞是否已经被利用？
截至目前，GitLab尚未发现CVE-2024-5655漏洞在野外被利用的证据。
不解决该漏洞可能带来什么合规问题？
不解决该漏洞可能导致公司难以满足安全软件开发的合规要求，进而影响收入和合同。
