发布于 2018-01-17 23:53:48 | 208 次阅读 | 评论: 0 | 来源: 网友投递
GitLab项目管理和代码托管平台
GitLab 是一个用于仓库管理系统的开源项目。使用Git作为代码管理工具，并在此基础上搭建起来的web服务。
GitLab 为社区版和企业版发布了 10.3.4, 10.2.6 和 10.1.6 这三个版本的更新。官方表示，这些版本包含许多重要的安全修复程序，包含对远程代码执行漏洞的修复，强烈建议所有 GitLab 用户都立即升级到其中一个版本。
下面简单介绍下其中三个漏洞。
GitLab 项目导入中的远程代码执行漏洞
GitLab 项目导入组件包含一个漏洞，该漏洞允许攻击者将文件写入服务器上的任意目录，并可能导致远程执行代码。此漏洞现已有所缓解，并标记为 CVE-2017-0915 和 CVE-2018-3710。
受影响的版本
GitLab CE and EE 8.9.0 - 9.5.10
GitLab CE and EE 10.0.0 - 10.1.5
GitLab CE and EE 10.2.0 - 10.2.5
GitLab CE and EE 10.3.0 - 10.3.3
GitLab CI Runner 可读取所有其他项目的缓存
在 CI runner 中发现了一个路径遍历漏洞，该漏洞允许恶意用户读取其他项目缓存。此问题现已被修复，并标记为 CVE-2017-0918。
受影响的版本
GitLab CE and EE 8.4.0 - 9.5.10
GitLab CE and EE 10.0.0 - 10.1.5
GitLab CE and EE 10.2.0 - 10.2.5
GitLab CE and EE 10.3.0 - 10.3.3
Jupyter Notebook XSS
具有 Jupyter Notebooks 的项目可以执行外部 JavaScript。这个 XSS 漏洞是由 Jupyter Notebooks 中的无标签输出引起的。输出现在在渲染之前已经过正确的审查。此问题被标记为 CVE-2017-0923。
受影响版本
GitLab CE and EE 8.4.0 - 9.5.10
GitLab CE and EE 10.0.0 - 10.1.5
GitLab CE and EE 10.2.0 - 10.2.5
GitLab CE and EE 10.3.0 - 10.3.3
还有许多其他漏洞的修复，详情请点此查看。