当前位置： 首页 > news >正文

极狐GitLab 发布安全补丁版本 17.4.2, 17.3.5, 17.2.9

news 文章来源：https://blog.csdn.net/weixin_44749269/article/details/142981262 2025/5/9 10:10:22

本分分享极狐GitLab 补丁版本 17.4.2, 17.3.5, 17.2.9 的详细内容。

极狐GitLab 正式推出面向 GitLab 老旧版本免费用户的专业升级服务，为 GitLab 老旧版本进行专业升级，详情可以查看官网 GitLab 专业升级服务指南

今天，极狐GitLab 专业技术团队正式发布了 17.4.2, 17.3.5, 17.2.9 版本。这几个版本包含重要的缺陷和安全修复代码，我们强烈建议所有私有化部署用户应该立即升级到上述的某一个版本。对于极狐GitLab SaaS，技术团队已经进行了升级，无需用户采取任何措施。

关联阅读

  • GitLab 老旧版本如何升级？
  • Ruby-SAML CVE-2024-45409 漏洞解决方案
  • GitLab 安全漏洞 CVE-2021-22205 如何解决？
  • GitLab 安全漏洞 CVE-2022-1162 如何解决？
  • GitLab 安全漏洞 CVE-2022-2185 如何解决？
  • GitLab 安全漏洞 CVE-2023-7028 如何解决？
  • 极狐GitLab专家团队支招解决 CVE-2023-4998 漏洞问题

漏洞详情

标题严重程度CVE ID
在任意分支上运行流水线严重CVE-2024-9164
攻击者可以伪装成任意用户高CVE-2024-8970
分析仪表盘中的 SSRF 漏洞高CVE-2024-8977
在具有冲突的 MR 中查看差异（diff）可能会很慢高CVE-2024-9631
OAuth 页面中的 HTMLi高CVE-2024-6530
部署密钥会推送变更到归档仓库中CVE-2024-9623
访客（Guests）能够泄露项目模版中CVE-2024-5005
极狐GitLab 实例版本被泄露给未授权用户低CVE-2024-9596

CVE-2024-9164

在该漏洞下，可以在任意分支上运行流水线。影响从 12.5 开始到 17.2.9 之前的所有版本、从 17.3 开始到 17.3.5 之前的所有版本以及从 17.4 开始到 17.4.2 之前的所有版本 。这是一个严重级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, 9.6）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9164。

CVE-2024-8970

在该漏洞下，攻击者可以在特定环境下以其他用户的身份来运行流水线。影响从 11.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

CVE-2024-8977

在该漏洞下，配置且开启了生产力分析仪表盘的实例可能会遭受 SSRF 攻击。影响从 15.10 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8970。

CVE-2024-9631

在该漏洞下，如果在具有冲突的 MR 中查看差异（diff）就会变得很慢。影响从 13.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9631。

CVE-2024-6530

在该漏洞下，在特定情况下，授权一个新应用时，它可能会被渲染为 HTML。影响从 17.1 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个高危级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-6530。

CVE-2024-9623

在该漏洞下，允许部署密钥向归档仓库推送变更。影响从 8.16 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9623。

CVE-2024-5005

在该漏洞下，访客可能会使用 API 来泄露项目模版。影响从 11.4 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-5005。

CVE-2024-9596

在漏洞下，极狐GitLab 的版本信息可能会泄露给未授权的用户。影响从 16.6 到 17.2.9 之前的所有版本、从 17.3 到 17.3.5 之前的所有版本以及从 17.4 到 17.4.2 之前的所有版本。这是一个低等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N, 3.7）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-9596。

受影响版本

CVE-2024-9164

  • 12.5 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-8970

  • 11.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-8977

  • 15.10 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9631

  • 13.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-6530

  • 17.1 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9623

  • 8.16 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-5005

  • 11.4 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

CVE-2024-9596

  • 16.6 <= GitLab CE/EE/JH < 17.2.9
  • 17.3 <= GitLab CE/EE/JH < 17.3.5
  • 17.4 <= GitLab CE/EE/JH < 17.4.2

建议的操作

我们强烈建议所有受以下问题描述所影响的安装实例尽快升级到最新版本。当没有指明产品部署类型的时候（omnibus、源代码、helm chart 等），意味着所有的类型都有影响。

对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab
17.4.2-jh、17.3.5-jh、17.2.9-jh 版本即可修复该漏洞。详情可以查看极狐GitLab 官网

  • Omnibus 安装

使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。

  • Docker 安装

使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述三个版本：

registry.gitlab.cn/omnibus/gitlab-jh:17.4.2-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.3.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.2.9-jh.0

升级详情可以查看极狐GitLab Docker 安装升级文档。

  • Helm Chart 安装

使用云原生安装的实例，可将使用的 Helm Chart 升级到 8.4.1(对应 17.4.1-jh）、8.3.4（对应 17.3.4-jh）、8.2.8（对应 17.2.8-jh）、8.0.8（对应 17.0.8）以及 7.11.10（对应 16.11.10）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

JH 版本17.4.217.3.517.2.9
Chart 版本8.4.28.3.58.2.9

对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。

极狐GitLab 技术支持

极狐GitLab 技术支持团队对付费客户GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket将问题提交。

如果您是免费用户，在升级过程中遇到任何问题，可以查看最新推出的GitLab 专业升级服务 获取专业服务！

新版本修复的缺陷

17.4.2

  • 回溯：修复：在 17-4-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
  • 回溯：修复：在 17.4 中将 grpc-go 从旧版本升级到 v1.67.1
  • 在 enable_advanced_sast_spec.rb 中更新预期的漏洞
  • 跳过稳定分支合并请求的多版本升级作业
  • 回溯：17.4 中修复了在查找时候通过名称来进行标签过滤
  • 在 ci_deleted_objects 中删除 project_id 不能为 null 的约束
  • [回溯] Go-get：修复未经认证请求的 401 错误

17.3.5

  • 回溯：修复：在 17-3-stable 中为 SCHEMA_VERSIONS_DIR 指定绝对目录
  • 回溯：修复：在 17.3 中允许非 root 用户运行 bundle-certificates 脚本
  • 跳过稳定分支合并请求的多版本升级作业。
  • 确保受限的可见性级别是一个数组 - 17.2 版本回溯

17.2.9

  • 跳过稳定分支合并请求的多版本升级作业
  • 确保受限的可见性级别是一个数组 - 17.2 版本回溯

相关文章：

极狐GitLab 发布安全补丁版本 17.4.2, 17.3.5, 17.2.9

本分分享极狐GitLab 补丁版本 17.4.2, 17.3.5, 17.2.9 的详细内容。 极狐GitLab 正式推出面向 GitLab 老旧版本免费用户的专业升级服务&#xff0c;为 GitLab 老旧版本进行专业升级&#xff0c;详情可以查看官网 GitLab 专业升级服务指南 今天&#xff0c;极狐GitLab 专业技术…...

编程日记 2024/10/23 20:30:46

MATLAB智能算法 - Immunity Algorithm免疫算法

Immunity Algorithm免疫算法 智能算法是路线规划、深度学习等等一系列领域所使用的优化算法&#xff0c;是算法进阶之路的必备之路。 前言&#xff1a;本文主要围绕解决TSP旅行商问题展开&#xff0c;对于机器人的路线规划以及非线性方程求解的问题等解决方案 对于一些其他智能…...

编程日记 2024/10/23 20:29:45

学习eNSP对提升就业竞争力有多大帮助？

学习eNSP&#xff08;Enterprise Network Simulation Platform&#xff09;对提升就业竞争力有显著帮助&#xff0c;具体表现在以下几个方面&#xff1a; 1. **增强专业技能**&#xff1a;通过eNSP&#xff0c;你可以模拟华为的网络设备&#xff0c;进行网络设计、配置和故障排…...

编程日记 2024/10/23 20:27:43

Molmo和PixMo：为最先进的多模态模型提供开放权重和开放数据

摘要 https://arxiv.org/pdf/2409.17146 当今最先进的多模态模型仍然是专有的。性能最强的开源模型严重依赖专有视觉语言模型（Vision-Language Model，简称VLM）的合成数据来获得良好性能，有效地将这些封闭模型提炼为开放模型。因此，业界仍然缺少关于如何从零开始构建高性能…...

编程日记 2024/10/23 20:26:42

day02_计算机常识丶第一个程序丶注释丶关键字丶标识符

计算机常识 计算机如何存储数据 计算机世界中只有二进制。那么在计算机中存储和运算的所有数据都要转为二进制。包括数字、字符、图片、声音、视频等。 进制 进制也就是进位计数制&#xff0c;是人为定义的带进位的计数方法 实例&#xff1a; // 在java 中 可以使用不同…...

编程日记 2024/10/23 20:25:41

【Trick】IOS系统解决“未受信任的企业级开发者”问题

问题&#xff1a; 本人通过扫码下载了一个软件&#xff0c;下载完毕后出现以下提示&#xff1a; 解决方法&#xff1a; 这个主要是操作系统的问题&#xff0c;需要在设置里面更改&#xff0c;具体步骤如下&#xff1a; 【1】打开设置&#xff0c;选择【通用】 【2】选择【VP…...

编程日记 2024/10/23 20:23:39

理解 React 中的 ReactElement、children 和 ReactNode

1. 什么是 ReactElement&#xff1f; ReactElement 是 React 用来描述 UI 界面元素的最基本的对象&#xff0c;是构建虚拟 DOM 的核心元素。 定义&#xff1a;ReactElement 是不可变的对象&#xff0c;表示界面中的某个元素。它包含了用于渲染 UI 所需的信息&#xff0c;如元…...

编程日记 2024/10/23 20:20:35

纯血鸿蒙正式登场，华为这新机给我看傻了

从 vivo 率先开炮 X200 系列&#xff0c;手机的白热化战斗序幕马上也就要揭开了。 就在昨天&#xff0c;骁龙于夏威夷召开骁龙峰会。 性能提升和咱们以往的爆料差距不大。 只是高通又双叒叕给自己改名了。新命名为 Snapdragon 8 Elite&#xff0c;官方翻译是骁龙 8 至尊版。 …...

编程日记 2024/10/23 20:19:34

c语言中的%运算和/运算

在C语言中&#xff0c;%运算和/运算分别表示取模运算和除法运算。以下是它们的详细解释和用法&#xff1a; 1. % 运算&#xff08;取模运算&#xff09; 取模运算用于计算两个整数相除后的余数。语法如下&#xff1a; result a % b; a 是被除数。b 是除数。result 是 a 除…...

编程日记 2024/10/23 20:18:32

【MySQL】多表查询——内连接，左/右连接

目录 准备工作 1.多表查询 2.INNER JOIN&#xff08;内连接&#xff09; 2.1.笛卡尔积 1.2.笛卡尔积的过滤 1.3.INNER JOIN&#xff08;显式内连接&#xff09; 1.4.SELF JOIN&#xff08;自连接&#xff09; 3. LEFT JOIN&#xff08;左连接&#xff09; 3.1.一个例子…...

编程日记 2024/10/23 20:16:29

Naicat连接本地CentOS 7虚拟机上的MySQL数据库失败解决办法

注意&#xff1a;Navicat主机栏填的是Centos虚拟机的IP地址 一、检查mysql容器 确保网络正常、保证mysql容器处于运行中且用户名、密码和端口正确。 1、查看mysql容器是否运行 docker ps2、查看mysql容器详细信息&#xff0c;可查看端口 docker inspect mysql二、检查防火墙…...

编程日记 2024/10/23 20:14:27

transforms.Normalize((0.4914, 0.4822, 0.4465), (0.2023, 0.1994, 0.2010)的计算过程

cifar10数据集的众多demo中&#xff0c;在数据加载环节&#xff0c;transforms.Normalize((0.4914, 0.4822, 0.4465), (0.2023, 0.1994, 0.2010)这条指令是经常看到的。这是一个 PyTorch 中用于图像数据标准化的函数调用&#xff0c;它将图像的每个通道的值进行标准化处理&…...

编程日记 2024/10/23 20:13:26

Excel表格如何修改“打开密码”，简单几步，轻松搞定

在保护Excel文件的安全性时&#xff0c;设置打开密码是常见且有效的方式。然而&#xff0c;有时我们需要修改已经设置的打开密码&#xff0c;以确保文件安全性或更新密码信息。今天小编来分享一下修改Excel文件打开密码的方法&#xff0c;操作简单&#xff0c;一起来看看吧&…...

编程日记 2024/10/23 20:12:25

pandas 数据分析实战

一、pandas常用数据类型 series&#xff0c;带标签的一维数组。类似于字典&#xff0c;但是键作为索引。 datatimeindex&#xff0c;时间序列。 dataframe&#xff0c;带标签且大小可变的二维表格结构。 panel&#xff0c;带标签且大小可变的三维数组。 1.一维数组与操…...

编程日记 2024/10/23 20:09:22

antd vue 输入框高亮设置关键字

<highlight-textareaplaceholder"请输入主诉"type"textarea"v-model"formModel.mainSuit":highlightKey"schema.componentProps.highlightKey"></highlight-textarea> 参考链接原生input&#xff0c;textarea demo地址 …...

编程日记 2024/10/23 20:07:20

python——扑克牌案列

斗地主发牌程序&#xff1a; 模拟一个斗地主发牌程序&#xff0c;实现对三个玩家进行手牌的派发&#xff0c;实现功能&#xff1a; ********** 欢迎进入 XX 斗地主 ********** 请输入玩家姓名&#xff1a;<用户控制台输入 A> 请输入玩家姓名&#xff1a;<用户控制台输…...

编程日记 2024/10/23 20:06:18

Java最全面试题-＞Java基础面试题-＞JavaWeb面试题-＞Git/SVN面试题

文章目录 Git/SVN面试题Git和SVN有什么区别&#xff1f;SVN优缺点&#xff1f;Git优缺点&#xff1f;说一下Git创建分支的步骤&#xff1f;说一下Git合并的两种方法以及区别&#xff1f;Git如何查看文件的提交历史和分支的提交历史?什么是 git stash&#xff1f;什么是git sta…...

编程日记 2024/10/23 20:05:17

引进Menu菜单与新增验证上传图片功能--系统篇

我的迭代小系统要更新2点。一是后台需要引进一种导航&#xff0c;众多导航之中我选择了Menu菜单。二是上传图片接口需要新增验证上传图片环节。先看看更新2点后的效果 引进Menu菜单效果如下&#xff0c;这部分修改后台前端代码 引进Menu菜单后&#xff0c;Menu菜单的默认数据我…...

编程日记 2024/10/23 20:04:15

安装Python及pip使用方法详解

一、安装Python Python是一种广泛使用的高级编程语言&#xff0c;其安装过程相对简单。以下是具体步骤&#xff1a; 访问Python官网&#xff1a; 打开浏览器&#xff0c;访问Python的官方网站[python.org](https://www.python.org/)&#xff0c;确保下载的是最新版本的Python安…...

编程日记 2024/10/23 20:03:12

利用Arcgis进行沟道形态分析

在做项目的时候需要学习到水文分析和沟道形态分析的学习&#xff0c;所以自己摸索着做了下面的工作和内容。如有不对请多指正&#xff01;&#xff01; 一、沟道形态分析概述 沟道形态分析是水文分析的一个重要方面&#xff0c;用于研究河流的形态和特征。沟道形态分析可以帮助…...

编程日记 2024/10/23 20:02:12

Excel：vba实现筛选出有批注的单元格

实现的效果&#xff1a;代码&#xff1a; Sub test() Dim cell As RangeRange("F3:I10000").ClearlastRow Cells(Rows.Count, "f").End(xlUp).Row MsgBox lastrow For Each cell In Range("a1:a21")If Not cell.Comment Is Nothing ThenMsgBox…...

编程日记 2024/10/23 20:00:10

RabbitMQ 发布确认模式

RabbitMQ 发布确认模式 一、原理 RabbitMQ 的发布确认模式&#xff08;Publisher Confirms&#xff09;是一种机制&#xff0c;用于确保消息在被 RabbitMQ 服务器成功接收后&#xff0c;发布者能够获得确认。这一机制在高可用性和可靠性场景下尤为重要&#xff0c;能够有效防止…...

编程日记 2024/10/23 19:59:09

【面试题】什么是SpringBoot以及SpringBoot的优缺点

什么是SpringBoot以及SpringBoot的优缺点 什么是SpringBoot SpringBoot是基于Spring的一个微框架,其设计目的是用来简化新Spring应用的初始搭建以及开发过程。 SpringBoot的优点 可以创建独立的Spring应用程序&#xff0c;并且基于其Maven或Gradle插件&#xff0c;可以创建可执…...

编程日记 2024/10/23 19:57:05

git区分大小写吗？如果不区分，那要如何设置？

git区分大小写吗&#xff1f;如果不区分&#xff0c;那要如何设置&#xff1f; "Git在文件名的大小写方面是区分大小写的&#xff0c;但在某些操作系统&#xff08;如Windows和macOS&#xff09;上&#xff0c;文件系统默认是不区分大小写的。这可能导致一些问题&#xf…...

编程日记 2024/10/23 19:55:02

Docker 安装使用

1. 下载 下载地址&#xff1a;Index of linux/static/stable/x86_64/ 下载好后&#xff0c;将文件docker-18.06.3-ce.tgz用WinSCP等工具&#xff0c;上传到不能外网的linux系统服务器 2. 安装 解压后的文件夹docker中文件如下所示&#xff1a; 将docker中的全部文件&#xff…...

编程日记 2024/10/23 19:54:01

Linux Docker配置镜像加速

Docker配置常用镜像加速地址包含阿里、腾讯、百度、网易 1. 编辑docke配置文件 vim /etc/docker/daemon.json写入以下内容 {"registry-mirrors": ["https://docker.mirrors.aliyuncs.com","https://registry.docker-cn.com","https://mi…...

编程日记 2024/10/23 19:51:59

了解CSS Typed OM

CSS Typed OM&#xff08;CSS Typed Object Model&#xff09;是一项前沿的技术&#xff0c;旨在改变我们编写和操作CSS的方式。以下是对CSS Typed OM的详细解析&#xff1a; 一、CSS Typed OM概述 CSS Typed OM是一个包含类型和方法的CSS对象模型&#xff0c;它暴露了作为Ja…...

编程日记 2024/10/23 19:48:56

[ 钓鱼实战系列-基础篇-6 ] 一篇文章让你了解邮件服务器机制(SMTP/POP/IMAP)-2

&#x1f36c; 博主介绍 &#x1f468;‍&#x1f393; 博主介绍&#xff1a;大家好&#xff0c;我是 _PowerShell &#xff0c;很高兴认识大家~ ✨主攻领域&#xff1a;【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】 &#x1f389;点赞➕评论➕收藏 养成习…...

编程日记 2024/10/23 19:47:55

在 Docker 中搭建 PostgreSQL16 主从同步环境

1. 环境搭建 本文介绍了如何在同一台机器上使用 Docker 容器搭建 PostgreSQL 的主从同步环境。通过创建互联网络和配置主库及从库&#xff0c;详细讲解了数据库初始化、角色创建、数据同步和验证步骤。主要步骤包括设置主库的连接信息、创建用于复制的角色、使用 pg_basebacku…...

编程日记 2024/10/23 19:45:53

SpringCloud无介绍快使用，sentinel服务熔断功能与持久化（二十四）

TOC 问题背景 从零开始学springcloud微服务项目 注意事项&#xff1a; 约定 > 配置 > 编码IDEA版本2021.1这个项目&#xff0c;我分了很多篇章&#xff0c;每篇文章一个操作步骤&#xff0c;目的是显得更简单明了controller调service&#xff0c;service调dao默认安装ngi…...

编程日记 2024/10/23 19:44:51