GitLab CVE-2024-8114 漏洞解决方案
漏洞 ID
| 标题 | 严重等级 | CVE ID |
|---|---|---|
| 通过 LFS 令牌提升权限 | 高 | CVE-2024-8114 |
- GitLab 升级指南
- GitLab 升级路径查看
- 版本漏洞查询
漏洞解读
此漏洞允许攻击者使用受害者的个人访问令牌（PAT）进行权限提升。影响从 8.12 开始到 17.4.5 之前的所有版本、从 17.5 开始到 17.5.3 之前的所有版本以及从 17.6 开始到 17.6.1 之前的所有版本。这是一个中等级别的安全问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2）。现在这个问题在最新版本中已经得到了修复，同时被分配为 CVE-2024-8114。
受影响版本
CVE-2024-8114
- 8.12 <= GitLab CE/EE/JH < 17.4.5
- 17.5 <= GitLab CE/EE/JH < 17.5.3
- 17.6 <= GitLab CE/EE/JH < 17.6.1
解决方案
对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab 17.6.1-jh版本即可修复该漏洞。
Omnibus 安装
使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。
Docker 安装
使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述版本：
registry.gitlab.cn/omnibus/gitlab-jh:17.6.1-jh.0
升级详情可以查看极狐GitLab Docker 安装升级文档。
Helm Chart 安装
使用云原生安装的实例，可将使用的 Helm Chart 升级到 8.6.1(对应 17.6.1-jh）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。
对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。
极狐GitLab 技术支持
团队对付费客户GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket 将问题提交。
如果您是免费用户，在升级过程中遇到任何问题，可以查看 GitLab 专业升级服务！
相关文章：
GitLab CVE-2024-8114 漏洞解决方案
漏洞 ID 标题严重等级CVE ID通过 LFS 令牌提升权限高CVE-2024-8114 GitLab 升级指南GitLab 升级路径查看版本漏洞查询 漏洞解读 此漏洞允许攻击者使用受害者的个人访问令牌（PAT）进行权限提升。影响从 8.12 开始到 17.4.5 之前的所有版本、从 17.5 开…...
request和websocket
当然，可以为你详细介绍 FastAPI 中的 Request 对象。Request 对象在 FastAPI 中扮演着重要的角色，负责封装来自客户端的 HTTP 请求信息。了解 Request 对象的使用方法和属性，有助于你更高效地处理请求数据、访问请求上下文以及进行各种操作。…...
一键生成后端服务，MemFire Cloud重新定义开发效率
作为开发者，特别是独立开发者和小团队成员，大家都知道开发的最大难题之一就是搭建后端服务。要让一个应用从零开始，除了前端的开发工作外，还需要考虑数据库、接口、认证、存储等等一系列繁琐的后台工作。而MemFire Cloud这款神器&…...
短视频矩阵的营销策略：批量混剪实现高效传播
在当今的商业环境中，短视频营销已成为企业获得市场份额的关键策略。随着消费者注意力的分散，传统营销方法的效果逐渐减弱。因此，短视频营销的重要性不言而喻。通过短视频，品牌能够以更为生动和直观的方式传递信息，从而…...
朗迪锋亮相2024人因工程与智能系统交互国际会议
2024年11月28日至30日，2024人因工程与智能系统交互国际会议在深圳隆重举办。此次大会以推动我国人因工程学科发展为目标，致力于加强国际学术交流，深入探讨人工智能时代的智能系统交互，旨在培育新质生产力，助力经济社会…...
spring boot3.3.5 logback-spring.xml 配置
新建 resources/logback-spring.xml 控制台输出颜色有点花 可以自己更改 <?xml version"1.0" encoding"UTF-8"?> <!--关闭文件扫描 scanfalse --> <configuration debug"false" scan"false"><springProperty …...
Proteus8.17下载安装教程
Proteus是一款嵌入式系统仿真开发软件，实现了从原理图设计、单片机编程、系统仿真到PCB设计，真正实现了从概念到产品的完整设计，其处理器模型支持8051、HC11、PIC10/12/16/18/24/30/DsPIC33、AVR、ARM、8086和MSP430等，能够帮助用…...
一次Kafka启动失败引出的问题
背景 Some time，有个现场童鞋说咱的Kafka实例有个broker一直crash，还截图给我看了，大致是Kafka启动加载topic分区日志文件的时候，然后就没了，连个WARN都没有。当然，光看这个截图咱啥都不知道，因…...
mysql 查询所有的触发器
SELECTTRIGGER_SCHEMA AS Database,TRIGGER_NAME AS Trigger,EVENT_OBJECT_TABLE AS Table,EVENT_MANIPULATION AS Event,ACTION_STATEMENT AS Statement FROMinformation_schema.TRIGGERS;创建触发器遇到报错： You do not have the SUPER privilege and binary lo…...
704. 二分查找 C++
文章目录 一、题目链接二、参考代码三、所思所悟 一、题目链接 链接: 704. 二分查找 二、参考代码 int search(const vector<int>& nums, int target) {int left 0; int right nums.size() - 1;//左闭右闭[]while (left < right){int mid (left right) / 2;…...
SpringCloud Seata集成分布式事务管理 事务保护 XA AT两种模式的区别
介绍 阿里巴巴的 Seata（Service Aligned Transaction Alternative）是一个开源的分布式事务解决方案，旨在解决微服务架构中跨服务、跨数据库的事务一致性问题。它可以帮助开发者管理分布式系统中的全局事务，确保在多个服务之间的事…...
node.js基础学习-querystring模块-查询字符串处理（三）
一、前言 querystring是 Node.js 中的一个内置模块，主要用于处理 URL 查询字符串。它提供了一些实用的方法来解析和格式化查询字符串，使得在处理 HTTP 请求中的查询参数等场景时非常方便。 还可以防止sql注入 二、解析查询字符串（parse方法&a…...
电子电气架构 --- 车载网关GW连接外部IP Tester
我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。 老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师： 所谓鸡汤，要么蛊惑你认命，要么怂恿你拼命，但都是回避问题的根源，以现象替代逻辑，以情绪代替思考，把消极接受现实的懦弱，伪装成乐观面对不幸的…...
鸿蒙LiteOS的核心架构
鸿蒙LiteOS是华为公司推出的一款面向物联网领域的轻量级操作系统，它专为资源受限设备设计，旨在满足智能穿戴设备、智能家居、智能出行等领域的应用需求。鸿蒙LiteOS不仅能够支持多种硬件平台，还具备超低功耗、快速启动、高安全性等特性&#…...
C语言——实现计算房屋总价
//功能：计算房屋总价 //房屋总价 房屋面积 * 单价 //契税 房屋总价 * 0.15% //印花税 房屋总价 * 0.05% //功能：计算房屋总价 //房屋总价 房屋面积 * 单价 //契税 房屋总价 * 0.15% //印花税 房屋总价 * 0.05%#include<stdio.h>void main()…...
【380】基于springboot的闲置图书分享
摘 要 信息数据从传统到当代，是一直在变革当中，突如其来的互联网让传统的信息管理看到了革命性的曙光，因为传统信息管理从时效性，还是安全性，还是可操作性等各个方面来讲，遇到了互联网时代才发现能补上自古…...
element-ui的下拉框报错：Cannot read properties of null (reading ‘disabled‘)
在使用element下拉框时，下拉框option必须点击输入框才关闭，点击其他地方报错：Cannot read properties of null (reading disabled) 造成报错原因：项目中使用了el-dropdown组件，但是在el-dropdown里面没有定义el-dropdo…...
VMware虚拟机——安装保姆级教程（附安装包）
一、下载 1、官方正版VMware下载链接：https://pan.quark.cn/s/c9ff7c6e06d7 2、Linux镜像下载（CentOS7）链接：https://pan.quark.cn/s/4df5f93fb83d 二、安装VMware 1、创建VMware所需文件夹 （1）找一个…...
如何实现表格选中时禁用树结构的复选框功能（El-Tree 与 El-Table 联动实现）
在前端开发中，树形结构和表格是常用的组件组合，尤其是在展示和管理复杂数据时。使用 Element UI 的 el-tree 和 el-table 组件，我们可以实现当表格中有选中行时，自动禁用树结构中的复选框，反之亦然。这不仅提升了用户体…...
STM32CUBEIDE FreeRTOS操作教程（十）：interrupt on/off中断开关
STM32CUBEIDE FreeRTOS操作教程（十）：interrupt on/off中断开关 STM32CUBE开发环境集成了STM32 HAL库进行FreeRTOS配置和开发的组件，不需要用户自己进行FreeRTOS的移植。这里介绍最简化的用户操作类应用教程。以STM32F401RCT6开发…...
-----深度优先搜索（DFS）实现)
c++ 面试题(1)-----深度优先搜索（DFS）实现
操作系统：ubuntu22.04 IDE:Visual Studio Code 编程语言：C11 题目描述 地上有一个 m 行 n 列的方格，从坐标 [0,0] 起始。一个机器人可以从某一格移动到上下左右四个格子，但不能进入行坐标和列坐标的数位之和大于 k 的格子。 例…...
el-switch文字内置
el-switch文字内置 效果 vue <div style"color:#ffffff;font-size:14px;float:left;margin-bottom:5px;margin-right:5px;">自动加载</div> <el-switch v-model"value" active-color"#3E99FB" inactive-color"#DCDFE6"…...
【论文笔记】若干矿井粉尘检测算法概述
总的来说，传统机器学习、传统机器学习与深度学习的结合、LSTM等算法所需要的数据集来源于矿井传感器测量的粉尘浓度，通过建立回归模型来预测未来矿井的粉尘浓度。传统机器学习算法性能易受数据中极端值的影响。YOLO等计算机视觉算法所需要的数据集来源于…...
Java面试专项一-准备篇
一、企业简历筛选规则 一般企业的简历筛选流程：首先由HR先筛选一部分简历后，在将简历给到对应的项目负责人后再进行下一步的操作。 HR如何筛选简历 例如：Boss直聘（招聘方平台） 直接按照条件进行筛选 例如：…...
分布式增量爬虫实现方案
之前我们在讨论的是分布式爬虫如何实现增量爬取。增量爬虫的目标是只爬取新产生或发生变化的页面，避免重复抓取，以节省资源和时间。 在分布式环境下，增量爬虫的实现需要考虑多个爬虫节点之间的协调和去重。 另一种思路：将增量判…...
Ubuntu Cursor升级成v1.0
0. 当前版本低 使用当前 Cursor v0.50时 GitHub Copilot Chat 打不开，快捷键也不好用，当看到 Cursor 升级后，还是蛮高兴的 1. 下载 Cursor 下载地址：https://www.cursor.com/cn/downloads 点击下载 Linux (x64) ，…...
Oracle11g安装包
Oracle 11g安装包 适用于windows系统，64位 下载路径 oracle 11g 安装包...
Python 训练营打卡 Day 47
注意力热力图可视化 在day 46代码的基础上，对比不同卷积层热力图可视化的结果 import torch import torch.nn as nn import torch.optim as optim from torchvision import datasets, transforms from torch.utils.data import DataLoader import matplotlib.pypl…...
全面解析数据库：从基础概念到前沿应用
在数字化时代，数据已成为企业和社会发展的核心资产，而数据库作为存储、管理和处理数据的关键工具，在各个领域发挥着举足轻重的作用。从电商平台的商品信息管理，到社交网络的用户数据存储，再到金融行业的交易记录处理&a…...
PydanticAI快速入门示例
参考链接：https://ai.pydantic.dev/#why-use-pydanticai 示例代码 from pydantic_ai import Agent from pydantic_ai.models.openai import OpenAIModel from pydantic_ai.providers.openai import OpenAIProvider# 配置使用阿里云通义千问模型 model OpenAIMode…...