当前位置： 首页 > news >正文

极狐GitLab 发布安全补丁版本 17.4.2, 17.3.5, 17.2.9

news 2025/11/2 23:07:44

本分分享极狐GitLab 补丁版本 17.4.2, 17.3.5, 17.2.9 的详细内容。

极狐GitLab 正式推出面向 GitLab 老旧版本免费用户的专业升级服务，为 GitLab 老旧版本进行专业升级，详情可以查看官网 GitLab 专业升级服务指南

今天，极狐GitLab 专业技术团队正式发布了 17.4.2, 17.3.5, 17.2.9 版本。这几个版本包含重要的缺陷和安全修复代码，我们强烈建议所有私有化部署用户应该立即升级到上述的某一个版本。对于极狐GitLab SaaS，技术团队已经进行了升级，无需用户采取任何措施。

关联阅读

  • GitLab 老旧版本如何升级？
  • Ruby-SAML CVE-2024-45409 漏洞解决方案
  • GitLab 安全漏洞 CVE-2021-22205 如何解决？
  • GitLab 安全漏洞 CVE-2022-1162 如何解决？
  • GitLab 安全漏洞 CVE-2022-2185 如何解决？
  • GitLab 安全漏洞 CVE-2023-7028 如何解决？
  • 极狐GitLab专家团队支招解决 CVE-2023-4998 漏洞问题

漏洞详情

标题严重程度CVE ID
在任意分支上运行流水线严重CVE-2024-9164
攻击者可以伪装成任意用户高CVE-2024-8970
分析仪表盘中的 SSRF 漏洞高CVE-2024-8977
在具有冲突的 MR 中查看差异（diff）可能会很慢高CVE-2024-9631
OAuth 页面中的 HTMLi高CVE-2024-6530
部署密钥会推送变更到归档仓库中CVE-2024-9623
访客（Guests）能够泄露项目模版中CVE-2024-5005
极狐GitLab 实例版本被泄露给未授权用户低CVE-2024-9596

CVE-2024-9164

在该漏洞下，可以在任意分支上运行流水线。影响从 12.5 开始到 17.2.9 之前的所有版本、从 17.3 开始到 17.3.5 之前的所有版本以及从 17.4 开始到 17.4.2 之前的所有版本 。这是一个严重级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, 9.6）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9164。

CVE-2024-8970

在该漏洞下，攻击者可以在特定环境下以其他用户的身份来运行流水线。影响从 11.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

CVE-2024-8977

在该漏洞下，配置且开启了生产力分析仪表盘的实例可能会遭受 SSRF 攻击。影响从 15.10 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

CVE-2024-9631

在该漏洞下，如果在具有冲突的 MR 中查看差异（diff）就会变得很慢。影响从 13.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9631。

CVE-2024-6530

在该漏洞下，在特定情况下，授权一个新应用时，它可能会被渲染为 HTML。影响从 17.1 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-6530。

CVE-2024-9623

在该漏洞下，允许部署密钥向归档仓库推送变更。影响从 8.16 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9623。

CVE-2024-5005

在该漏洞下，访客可能会使用 API 来泄露项目模版。影响从 11.4 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-5005。

CVE-2024-9596

在漏洞下，极狐GitLab 的版本信息可能会泄露给未授权的用户。影响从 16.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个低等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N, 3.7）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9596。

受影响版本

CVE-2024-9164

  • 12.5 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-8970

  • 11.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-8977

  • 15.10 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9631

  • 13.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-6530

  • 17.1 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9623

  • 8.16 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-5005

  • 11.4 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9596

  • 16.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

建议的操作

我们强烈建议所有受以下问题描述所影响的安装实例尽快升级到最新版本。当没有指明产品部署类型的时候（omnibus、源代码、helm chart 等），意味着所有的类型都有影响。

对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab
17.4.2-jh、17.3.5-jh、17.2.9-jh 版本即可修复该漏洞。详情可以查看极狐GitLab 官网

  • Omnibus 安装

使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。

  • Docker 安装

使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述三个版本：

registry.gitlab.cn/omnibus/gitlab-jh:17.4.2-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.3.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.2.9-jh.0

升级详情可以查看极狐GitLab Docker 安装升级文档。

  • Helm Chart 安装

使用云原生安装的实例，可将使用的 Helm Chart 升级到 8.4.1(对应 17.4.1-jh）、8.3.4（对应 17.3.4-jh）、8.2.8（对应 17.2.8-jh）、8.0.8（对应 17.0.8）以及 7.11.10（对应 16.11.10）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

JH 版本17.4.217.3.517.2.9
Chart 版本8.4.28.3.58.2.9

对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。

极狐GitLab 技术支持

极狐GitLab 技术支持团队对付费客户GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket将问题提交。

如果您是免费用户，在升级过程中遇到任何问题，可以查看最新推出的GitLab 专业升级服务 获取专业服务！

新版本修复的缺陷

17.4.2

  • 回溯：修复：在 17-4-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
  • 回溯：修复：在 17.4 中将 grpc-go 从旧版本升级到 v1.67.1
  • 在 enable_advanced_sast_spec.rb 中更新预期的漏洞
  • 跳过稳定分支合并请求的多版本升级作业
  • 回溯：17.4 中修复了在查找时候通过名称来进行标签过滤
  • 在 ci_deleted_objects 中删除 project_id 不能为 null 的约束
  • [回溯] Go-get：修复未经认证请求的 401 错误

17.3.5

  • 回溯：修复：在 17-3-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
  • 回溯：修复：在 17.3 中允许非 root 用户运行 bundle-certificates 脚本
  • 跳过稳定分支合并请求的多版本升级作业。
  • 确保受限的可见性级别是一个数组 - 17.2 版本回溯

17.2.9

  • 跳过稳定分支合并请求的多版本升级作业
  • 确保受限的可见性级别是一个数组 - 17.2 版本回溯

相关文章：

极狐GitLab 发布安全补丁版本 17.4.2, 17.3.5, 17.2.9

本分分享极狐GitLab 补丁版本 17.4.2, 17.3.5, 17.2.9 的详细内容。 极狐GitLab 正式推出面向 GitLab 老旧版本免费用户的专业升级服务&#xff0c;为 GitLab 老旧版本进行专业升级&#xff0c;详情可以查看官网 GitLab 专业升级服务指南 今天&#xff0c;极狐GitLab 专业技术…...

编程日记 2024/10/23 20:30:46

MATLAB智能算法 - Immunity Algorithm免疫算法

Immunity Algorithm免疫算法 智能算法是路线规划、深度学习等等一系列领域所使用的优化算法&#xff0c;是算法进阶之路的必备之路。 前言&#xff1a;本文主要围绕解决TSP旅行商问题展开&#xff0c;对于机器人的路线规划以及非线性方程求解的问题等解决方案 对于一些其他智能…...

编程日记 2024/10/23 20:29:45

学习eNSP对提升就业竞争力有多大帮助？

学习eNSP&#xff08;Enterprise Network Simulation Platform&#xff09;对提升就业竞争力有显著帮助&#xff0c;具体表现在以下几个方面&#xff1a; 1. **增强专业技能**&#xff1a;通过eNSP&#xff0c;你可以模拟华为的网络设备&#xff0c;进行网络设计、配置和故障排…...

编程日记 2024/10/23 20:27:43

Molmo和PixMo：为最先进的多模态模型提供开放权重和开放数据

摘要 https://arxiv.org/pdf/2409.17146 当今最先进的多模态模型仍然是专有的。性能最强的开源模型严重依赖专有视觉语言模型（Vision-Language Model，简称VLM）的合成数据来获得良好性能，有效地将这些封闭模型提炼为开放模型。因此，业界仍然缺少关于如何从零开始构建高性能…...

编程日记 2024/10/23 20:26:42

day02_计算机常识丶第一个程序丶注释丶关键字丶标识符

计算机常识 计算机如何存储数据 计算机世界中只有二进制。那么在计算机中存储和运算的所有数据都要转为二进制。包括数字、字符、图片、声音、视频等。 进制 进制也就是进位计数制&#xff0c;是人为定义的带进位的计数方法 实例&#xff1a; // 在java 中 可以使用不同…...

编程日记 2024/10/23 20:25:41

【Trick】IOS系统解决“未受信任的企业级开发者”问题

问题&#xff1a; 本人通过扫码下载了一个软件&#xff0c;下载完毕后出现以下提示&#xff1a; 解决方法&#xff1a; 这个主要是操作系统的问题&#xff0c;需要在设置里面更改&#xff0c;具体步骤如下&#xff1a; 【1】打开设置&#xff0c;选择【通用】 【2】选择【VP…...

编程日记 2024/10/23 20:23:39

理解 React 中的 ReactElement、children 和 ReactNode

1. 什么是 ReactElement&#xff1f; ReactElement 是 React 用来描述 UI 界面元素的最基本的对象&#xff0c;是构建虚拟 DOM 的核心元素。 定义&#xff1a;ReactElement 是不可变的对象&#xff0c;表示界面中的某个元素。它包含了用于渲染 UI 所需的信息&#xff0c;如元…...

编程日记 2024/10/23 20:20:35

纯血鸿蒙正式登场，华为这新机给我看傻了

从 vivo 率先开炮 X200 系列&#xff0c;手机的白热化战斗序幕马上也就要揭开了。 就在昨天&#xff0c;骁龙于夏威夷召开骁龙峰会。 性能提升和咱们以往的爆料差距不大。 只是高通又双叒叕给自己改名了。新命名为 Snapdragon 8 Elite&#xff0c;官方翻译是骁龙 8 至尊版。 …...

编程日记 2024/10/23 20:19:34

c语言中的%运算和/运算

在C语言中&#xff0c;%运算和/运算分别表示取模运算和除法运算。以下是它们的详细解释和用法&#xff1a; 1. % 运算&#xff08;取模运算&#xff09; 取模运算用于计算两个整数相除后的余数。语法如下&#xff1a; result a % b; a 是被除数。b 是除数。result 是 a 除…...

编程日记 2024/10/23 20:18:32

【MySQL】多表查询——内连接，左/右连接

目录 准备工作 1.多表查询 2.INNER JOIN&#xff08;内连接&#xff09; 2.1.笛卡尔积 1.2.笛卡尔积的过滤 1.3.INNER JOIN&#xff08;显式内连接&#xff09; 1.4.SELF JOIN&#xff08;自连接&#xff09; 3. LEFT JOIN&#xff08;左连接&#xff09; 3.1.一个例子…...

编程日记 2024/10/23 20:16:29

Naicat连接本地CentOS 7虚拟机上的MySQL数据库失败解决办法

注意&#xff1a;Navicat主机栏填的是Centos虚拟机的IP地址 一、检查mysql容器 确保网络正常、保证mysql容器处于运行中且用户名、密码和端口正确。 1、查看mysql容器是否运行 docker ps2、查看mysql容器详细信息&#xff0c;可查看端口 docker inspect mysql二、检查防火墙…...

编程日记 2024/10/23 20:14:27

transforms.Normalize((0.4914, 0.4822, 0.4465), (0.2023, 0.1994, 0.2010)的计算过程

cifar10数据集的众多demo中&#xff0c;在数据加载环节&#xff0c;transforms.Normalize((0.4914, 0.4822, 0.4465), (0.2023, 0.1994, 0.2010)这条指令是经常看到的。这是一个 PyTorch 中用于图像数据标准化的函数调用&#xff0c;它将图像的每个通道的值进行标准化处理&…...

编程日记 2024/10/23 20:13:26

Excel表格如何修改“打开密码”，简单几步，轻松搞定

在保护Excel文件的安全性时&#xff0c;设置打开密码是常见且有效的方式。然而&#xff0c;有时我们需要修改已经设置的打开密码&#xff0c;以确保文件安全性或更新密码信息。今天小编来分享一下修改Excel文件打开密码的方法&#xff0c;操作简单&#xff0c;一起来看看吧&…...

编程日记 2024/10/23 20:12:25

pandas 数据分析实战

一、pandas常用数据类型 series&#xff0c;带标签的一维数组。类似于字典&#xff0c;但是键作为索引。 datatimeindex&#xff0c;时间序列。 dataframe&#xff0c;带标签且大小可变的二维表格结构。 panel&#xff0c;带标签且大小可变的三维数组。 1.一维数组与操…...

编程日记 2024/10/23 20:09:22

antd vue 输入框高亮设置关键字

<highlight-textareaplaceholder"请输入主诉"type"textarea"v-model"formModel.mainSuit":highlightKey"schema.componentProps.highlightKey"></highlight-textarea> 参考链接原生input&#xff0c;textarea demo地址 …...

编程日记 2024/10/23 20:07:20

python——扑克牌案列

斗地主发牌程序&#xff1a; 模拟一个斗地主发牌程序&#xff0c;实现对三个玩家进行手牌的派发&#xff0c;实现功能&#xff1a; ********** 欢迎进入 XX 斗地主 ********** 请输入玩家姓名&#xff1a;<用户控制台输入 A> 请输入玩家姓名&#xff1a;<用户控制台输…...

编程日记 2024/10/23 20:06:18

Java最全面试题-＞Java基础面试题-＞JavaWeb面试题-＞Git/SVN面试题

文章目录 Git/SVN面试题Git和SVN有什么区别&#xff1f;SVN优缺点&#xff1f;Git优缺点&#xff1f;说一下Git创建分支的步骤&#xff1f;说一下Git合并的两种方法以及区别&#xff1f;Git如何查看文件的提交历史和分支的提交历史?什么是 git stash&#xff1f;什么是git sta…...

编程日记 2024/10/23 20:05:17

引进Menu菜单与新增验证上传图片功能--系统篇

我的迭代小系统要更新2点。一是后台需要引进一种导航&#xff0c;众多导航之中我选择了Menu菜单。二是上传图片接口需要新增验证上传图片环节。先看看更新2点后的效果 引进Menu菜单效果如下&#xff0c;这部分修改后台前端代码 引进Menu菜单后&#xff0c;Menu菜单的默认数据我…...

编程日记 2024/10/23 20:04:15

安装Python及pip使用方法详解

一、安装Python Python是一种广泛使用的高级编程语言&#xff0c;其安装过程相对简单。以下是具体步骤&#xff1a; 访问Python官网&#xff1a; 打开浏览器&#xff0c;访问Python的官方网站[python.org](https://www.python.org/)&#xff0c;确保下载的是最新版本的Python安…...

编程日记 2024/10/23 20:03:12

利用Arcgis进行沟道形态分析

在做项目的时候需要学习到水文分析和沟道形态分析的学习&#xff0c;所以自己摸索着做了下面的工作和内容。如有不对请多指正&#xff01;&#xff01; 一、沟道形态分析概述 沟道形态分析是水文分析的一个重要方面&#xff0c;用于研究河流的形态和特征。沟道形态分析可以帮助…...

编程日记 2024/10/23 20:02:12

19c补丁后oracle属主变化，导致不能识别磁盘组

补丁后服务器重启&#xff0c;数据库再次无法启动 ORA01017: invalid username/password; logon denied Oracle 19c 在打上 19.23 或以上补丁版本后&#xff0c;存在与用户组权限相关的问题。具体表现为&#xff0c;Oracle 实例的运行用户&#xff08;oracle&#xff09;和集…...

编程新知 2025/10/31 23:54:54

超短脉冲激光自聚焦效应

前言与目录 强激光引起自聚焦效应机理 超短脉冲激光在脆性材料内部加工时引起的自聚焦效应&#xff0c;这是一种非线性光学现象&#xff0c;主要涉及光学克尔效应和材料的非线性光学特性。 自聚焦效应可以产生局部的强光场&#xff0c;对材料产生非线性响应&#xff0c;可能…...

编程新知 2025/10/27 15:21:40

阿里云ACP云计算备考笔记 (5)——弹性伸缩

目录 第一章 概述 第二章 弹性伸缩简介 1、弹性伸缩 2、垂直伸缩 3、优势 4、应用场景 ① 无规律的业务量波动 ② 有规律的业务量波动 ③ 无明显业务量波动 ④ 混合型业务 ⑤ 消息通知 ⑥ 生命周期挂钩 ⑦ 自定义方式 ⑧ 滚的升级 5、使用限制 第三章 主要定义 …...

编程新知 2025/11/1 2:53:34

从零实现富文本编辑器#5-编辑器选区模型的状态结构表达

先前我们总结了浏览器选区模型的交互策略&#xff0c;并且实现了基本的选区操作&#xff0c;还调研了自绘选区的实现。那么相对的&#xff0c;我们还需要设计编辑器的选区表达&#xff0c;也可以称为模型选区。编辑器中应用变更时的操作范围&#xff0c;就是以模型选区为基准来…...

编程新知 2025/9/5 17:56:03

.Net框架，除了EF还有很多很多......

文章目录 1. 引言2. Dapper2.1 概述与设计原理2.2 核心功能与代码示例基本查询多映射查询存储过程调用 2.3 性能优化原理2.4 适用场景 3. NHibernate3.1 概述与架构设计3.2 映射配置示例Fluent映射XML映射 3.3 查询示例HQL查询Criteria APILINQ提供程序 3.4 高级特性3.5 适用场…...

编程新知 2025/10/31 22:17:06

【磁盘】每天掌握一个Linux命令 - iostat

目录 【磁盘】每天掌握一个Linux命令 - iostat工具概述安装方式核心功能基础用法进阶操作实战案例面试题场景生产场景 注意事项 【磁盘】每天掌握一个Linux命令 - iostat 工具概述 iostat&#xff08;I/O Statistics&#xff09;是Linux系统下用于监视系统输入输出设备和CPU使…...

编程新知 2025/9/30 16:39:11

如何在看板中有效管理突发紧急任务

在看板中有效管理突发紧急任务需要&#xff1a;设立专门的紧急任务通道、重新调整任务优先级、保持适度的WIP&#xff08;Work-in-Progress&#xff09;弹性、优化任务处理流程、提高团队应对突发情况的敏捷性。其中&#xff0c;设立专门的紧急任务通道尤为重要&#xff0c;这能…...

编程新知 2025/11/2 17:32:00

P3 QT项目----记事本（3.8）

3.8 记事本项目总结 项目源码 1.main.cpp #include "widget.h" #include <QApplication> int main(int argc, char *argv[]) {QApplication a(argc, argv);Widget w;w.show();return a.exec(); } 2.widget.cpp #include "widget.h" #include &q…...

编程新知 2025/10/27 2:41:32

C# 类和继承(抽象类)

抽象类 抽象类是指设计为被继承的类。抽象类只能被用作其他类的基类。 不能创建抽象类的实例。抽象类使用abstract修饰符声明。 抽象类可以包含抽象成员或普通的非抽象成员。抽象类的成员可以是抽象成员和普通带 实现的成员的任意组合。抽象类自己可以派生自另一个抽象类。例…...

编程新知 2025/10/31 17:33:24

PL0语法，分析器实现！

简介 PL/0 是一种简单的编程语言，通常用于教学编译原理。它的语法结构清晰，功能包括常量定义、变量声明、过程（子程序）定义以及基本的控制结构（如条件语句和循环语句）。 PL/0 语法规范 PL/0 是一种教学用的小型编程语言，由 Niklaus Wirth 设计，用于展示编译原理的核…...

编程新知 2025/10/28 23:13:36