GitLab曝多个安全漏洞，攻击者可注入恶意指令窃取数据

本文将用五个无可辩驳的理由告诉你：为何现在应该告别古老的os模块，全面投入到pathlib的怀抱中。

紧急发布安全补丁

GitLab紧急发布了安全更新，修复社区版和企业版中的多个高危漏洞。此次推出的18.5.2、18.4.4与18.3.6版本，重点解决了可能被攻击者利用来窃取敏感信息并绕过访问控制的关键安全问题。

高危漏洞详情

最严重的漏洞涉及GitLab Duo代码审查功能中的提示注入攻击。攻击者能直接在合并请求评论中植入隐藏的恶意指令，诱使AI系统泄露机密议题中的敏感信息。该漏洞影响GitLab企业版17.9及后续版本，可能导致未授权用户获取项目机密数据。

除提示注入漏洞外，GitLab还修复了9个严重程度不等的其他漏洞：

漏洞影响分析

Kubernetes代理中的跨站脚本（XSS）漏洞允许认证用户执行恶意脚本。15.10及后续版本工作流中的授权绕过漏洞，让用户能够删除其他用户的AI流程，破坏工作流完整性。攻击者可通过多种途径获取敏感数据：被封锁用户建立GraphQL订阅、通过访问控制缺陷查看分支名称、在仓库访问被禁用时通过软件包API端点泄露信息。其他漏洞包括：影响分支名称的路径遍历问题、允许绕过OAuth认证的GitLab Pages访问控制缺陷，以及通过特制Markdown内容发起的拒绝服务攻击

升级建议

GitLab强烈建议立即升级至已修复版本。该公司已完成Git.com的更新，GitLab Dedicated客户无需采取行动。自托管实例必须优先升级，这些漏洞直接影响客户数据安全。补丁包含可能影响升级流程的数据库迁移。

单节点实例在更新期间会出现停机，而多节点安装可通过适当程序实现零停机升级。GitLab研究人员通过HackerOne漏洞赏金计划发现多数漏洞，承诺在补丁发布30天后于公共问题跟踪器公布安全细节。

所有受影响组织应立即检查当前GitLab版本并部署补丁，防范这些日益严峻的安全威胁。