GitLab 安全更新：16.8.2, 16.7.5, 16.6.7
内容提要
GitLab发布了安全更新，解决了特权升级、绕过安全策略、拒绝服务攻击和资源耗尽等多个漏洞。建议用户升级到最新版本以减轻这些问题。
延伸解读
漏洞影响范围与版本对应关系
本次安全更新修复的漏洞影响多个GitLab版本。例如，特权升级漏洞影响16.8至16.8.2之前的版本；保护分支策略绕过漏洞影响16.4至16.6.7、16.7至16.7.5以及16.8至16.8.2之前的版本；CI/CD管道编辑器拒绝服务漏洞影响15.11至16.6.7、16.7至16.7.5和16.8至16.8.2之前的版本；GraphQL资源耗尽漏洞影响13.3.0至16.6.7、16.7至16.7.5和16.8至16.8.2之前的版本。用户需根据自身版本判断是否受影响。
漏洞严重性评估与修复状态
所有漏洞均被评定为中等严重性，CVSS评分在6.5至6.7之间。特权升级漏洞（CVE-2024-1250）评分为6.5；保护分支策略绕过漏洞（CVE-2023-6840）评分为6.7；CI/CD管道编辑器拒绝服务漏洞（CVE-2023-6386）评分为6.5；GraphQL资源耗尽漏洞（CVE-2024-1066）评分为6.5。这些漏洞已在最新版本中修复，GitLab.com已运行修补版本。
漏洞发现与披露流程
部分漏洞由GitLab内部团队成员发现，如Rohit Shambhuni和Brian Williams；其他漏洞通过HackerOne漏洞赏金计划由外部研究人员报告，如js_noob和Anonymizer。GitLab在发布修复版本30天后公开漏洞详情。这种流程平衡了安全修复与漏洞信息披露的透明度。
升级建议与注意事项
GitLab强烈建议所有受影响的安装立即升级到最新版本。当未指定特定部署类型时，所有类型均受影响。用户应参考更新页面进行升级，并关注GitLab Runner的更新。此外，PostgreSQL也已更新，确保系统安全性。定期升级是维护GitLab实例安全的最佳实践。
Q&A
GitLab 16.8.2、16.7.5 和 16.6.7 版本修复了哪些安全漏洞？
这些版本修复了多个安全漏洞，包括：特权升级漏洞（允许创建具有所有者权限的组访问令牌）、绕过安全策略漏洞（维护者可绕过保护分支的 block_branch_modification 设置）、CI/CD 管道编辑器中的拒绝服务漏洞（ReDoS）、GraphQL 资源耗尽漏洞（vulnerabilitiesCountByDay），以及 PostgreSQL 更新。
GitLab 特权升级漏洞 CVE-2024-1250 的具体细节是什么？
CVE-2024-1250 是一个特权升级漏洞，影响 GitLab EE 16.8 至 16.8.2 之前的版本。当用户被分配具有 manage_group_access_tokens 权限的自定义角色时，可能创建具有所有者权限的组访问令牌，导致特权升级。该漏洞严重性为中等（CVSS 6.5），已在最新版本中修复。
GitLab 的维护者如何绕过安全策略？
在 GitLab EE 中，维护者可以通过更改受保护分支的名称来绕过组扫描结果策略中的 block_branch_modification 设置，从而绕过阻止合并请求的安全策略。该漏洞影响 16.4 至 16.6.7、16.7 至 16.7.5 以及 16.8 至 16.8.2 之前的版本，已在最新版本中修复。
GitLab 的 CI/CD 管道编辑器中的拒绝服务漏洞是什么？
这是一个 ReDoS（正则表达式拒绝服务）漏洞，影响 GitLab CE/EE 15.11 至 16.6.7、16.7 至 16.7.5 以及 16.8 至 16.8.2 之前的版本。攻击者可以利用该漏洞在验证管道语法时激增 GitLab 实例的资源使用，导致服务降级。该漏洞严重性为中等（CVSS 6.5），已在最新版本中修复。
GraphQL 漏洞 vulnerabilitiesCountByDay 如何导致资源耗尽？
在 GitLab EE 中，攻击者可以利用 GraphQL 的 vulnerabilitiesCountByDay 查询进行资源耗尽攻击。该漏洞影响 13.3.0 至 16.6.7、16.7 至 16.7.5 以及 16.8 至 16.8.2 之前的版本，严重性为中等（CVSS 6.5），已在最新版本中修复。
GitLab 用户应如何应对这些安全漏洞？
强烈建议所有 GitLab 用户立即升级到最新版本（16.8.2、16.7.5 或 16.6.7），以减轻这些漏洞带来的风险。GitLab.com 已经运行了修补版本。升级方法请参考 GitLab 的更新页面。
