InfoQ
·
GitLab发布受保护的容器库；修复XSS漏洞
内容提要
GitLab发布17.8版本，增强安全性，新增容器库和机器学习功能。尽管有121项社区贡献，但发现高优先级跨站脚本漏洞，建议用户升级至17.8.2。新版本引入受保护的容器库，提供更严格的访问控制，并改进发布跟踪、机器学习实验记录和SAST扫描等功能。
关键要点
-
GitLab发布17.8版本，增强安全性，新增容器库和机器学习功能。
-
新版本包含超过60项改进，社区贡献达121项。
-
发现高优先级跨站脚本漏洞，建议用户升级至17.8.2。
-
引入受保护的容器库，提供更严格的访问控制和细粒度权限。
-
新功能允许组织实施基于角色的访问控制，增强敏感容器镜像的安全性。
-
演示中展示了如何配置容器库的保护规则，确保只有维护者可以修改受保护的容器镜像。
-
发布页面现在跟踪发布的环境和待部署的环境信息。
-
机器学习模型实验跟踪功能已推广至正式版，支持数据科学家记录实验参数和指标。
-
VS Code中的SAST扫描现已作为实验性功能提供，帮助开发者在提交代码前发现安全漏洞。
-
大型M2 Pro托管运行器现已进入测试阶段，性能是M1运行器的两倍。
-
合规性和安全性得到提升，合并请求审批政策支持多个独立审批操作。
-
更新包括多个工作流改进，如跟踪多个待办事项、增强史诗功能和修复秘密泄漏的步骤。
-
GitLab 17.8现已可用。
延伸解读
安全性提升的重要性
GitLab 17.8版本引入了受保护的容器库，提供更严格的访问控制。这一功能对于保护敏感容器镜像至关重要，尤其是在当前网络安全威胁日益增加的背景下。用户应重视这一更新，确保只有授权人员能够访问和修改关键资源，从而降低潜在的安全风险。
跨站脚本漏洞的风险
尽管GitLab 17.8版本带来了多项新功能，但高优先级的跨站脚本漏洞提醒用户必须及时升级至17.8.2版本。未及时更新可能导致攻击者利用该漏洞进行未授权操作，给组织带来严重的安全隐患。因此，用户应定期检查更新并采取必要的安全措施。
机器学习功能的实用性
新版本中机器学习模型实验跟踪功能的推广，极大地方便了数据科学家的工作。通过记录实验参数和指标，用户可以更好地管理和复现实验结果。这一功能不仅提升了工作效率，也为团队协作提供了更好的支持，尤其是在复杂的机器学习项目中。
延伸问答
GitLab 17.8版本有哪些主要新功能？
GitLab 17.8版本引入了受保护的容器库、机器学习功能和改进的发布跟踪等新功能。
为什么建议用户升级到GitLab 17.8.2？
因为在17.8版本中发现了高优先级的跨站脚本漏洞，建议用户升级以修复安全问题。
受保护的容器库如何增强安全性？
受保护的容器库提供更严格的访问控制和细粒度权限，确保只有特定角色的用户可以修改敏感容器镜像。
GitLab 17.8版本中机器学习功能的改进是什么？
机器学习模型实验跟踪功能已推广至正式版，支持数据科学家记录实验参数和指标。
GitLab 17.8版本的SAST扫描功能有什么新变化？
SAST扫描在VS Code中作为实验性功能提供，帮助开发者在提交代码前发现安全漏洞。
GitLab 17.8版本如何改善合规性和安全性？
新版本支持多个独立审批操作，允许组织创建复杂的合并请求审批政策，增强合规性和安全性。
