，gitlab 近日发布了安全更新，修复了一个“关键”级别的高危漏洞，，并敦促用户尽快升级。据悉 gitlab 社区版和企业版(ee)，从 13.12 到 16.2.7 此前版本、16.3.4 此前的 16.3 版本均受影响。

这个漏洞由安全研究人员和漏洞猎人 johan carlsson 发现，最初是一个中等严重的漏洞，追踪编号为 cve-2023-3932，官方于 8 月进行修复。

不过研究人员发现了新的方法了绕过保护，并验证了可以施加额外的影响，最新追踪编号为 cve-2023-4998，在 cvss 3.1 版本中得分为 9.6 分。

攻击者在用户不知情且没有权限的情况下，冒充用户进行管道任务，从而获取敏感信息，或者冒充用户的权限来运行代码、修改数据或触发 gitlab 系统中的特定事件。

gitlab 社区和企业版 16.3.4 和 16.2.7 版本目前已经修复 cve-2023-4998 漏洞，gitlab 敦促用户尽快升级。

16.3.4

  • use new indexer, fix removing blobs from index

  • backport "fix geo secondary proxying git pulls unnecessarily" to 16.3

16.2.7

  • revert "merge branch 'md-play-all-skipped-button' into 'master'

it之家注:gitlab 是一个开源的版本控制和项目管理工具，其分为两个版本:社区版和企业版。

社区版是免费的，可以在自己的服务器上部署。它提供了一些基本的版本控制和项目管理功能，如源代码管理、问题跟踪、代码评审、持续集成和部署等。

企业版是收费的，需要在 gitlab 官方服务器上部署。它比社区版提供了更多的高级功能，如高级安全性、更方便的管理、内部代码库、更多的管理选项和报告等。