取消
清空记录
历史记录
清空记录
历史记录
GitLab 是一个根据网络的 Git 存储库,首要面向需求远程办理代码的开发团队,现在共拥有约 3000 万注册用户和 100 万付费客户。
一位名叫 pwnie 的安全研究员发现 CVE-2023-2825 缝隙,随后在 GitLab 的 HackOne 缝隙奖赏方案中报告了这样的一个问题。据悉,该缝隙影响 GitLab社区版(CE)和企业版(EE)的 16.0.0 版别,其它更早的版别简直都不受影响。
CVE-2023-2825 缝隙源于途径遍历问题,当一个附件存在于至少五个组内嵌套的公共项目中时,未经认证的攻击者能够在服务器上读取恣意文件。运用 CVE-2023-2825 缝隙还可能会露出包含专有软件代码、用户凭据、令牌、文件和其他私家信息在内的敏感数据。
以上的先决条件标明 CVE-2023-2825 缝隙问题与 GitLab 怎么办理或处理嵌套在几级组层次结构中的附件文件的途径有关。但是因为问题的关键性和发现及时,GitLab 没有发表许多细节,但一再强调用户运用最新安全更新的重要性。
GitLab 在安全公告中表明,强烈建议一切运转受 CVE-2023-2825 缝隙影响版别的设备中赶快升级到最新版别。(当未提及产品的详细布置类型(总括、源代码、梢公图等)时,意味着一切类型都受到影响。)
值得一提的是,CVE-2023-2825 缝隙只能在特定条件下才会触发,即当公共项目中有一个附件嵌套在至少五个组中时,好在这并不是一切 GitHub 项目遵从的结构。