← 全部报道

威胁情报

GitLab 严重漏洞（CVSS 10.0）：无需登录即可远程执行代码，波及 12 年来所有版本

作者 The Hacker News1 分钟阅读

据 The Hacker News 报道，GitLab 于 10 月 21 日修复了一个 CVSS 评分 10.0 的严重漏洞，攻击者无需登录即可在自托管服务器上远程执行代码，自 2014 年 7.0 版以来的所有版本均受影响。仅安装 10 月 12 日补丁的管理员可能仍需再次升级。

威胁情报报道封面

据 The Hacker News 报道，GitLab 发布修复补丁，修补了一个严重漏洞：攻击者无需登录，即可在自托管（self-managed）的 GitLab 服务器上执行代码。

该漏洞的 CVSS 严重性评分达到满分 10.0，影响范围异乎寻常地广——自 2014 年发布的 GitLab 7.0 以来的所有版本均受影响，跨度约十二年。

GitLab 于 10 月 21 日发布了修复版本。报道特别指出，即使在九天前刚刚打过补丁的管理员，也不能忽视这次更新：10 月 12 日发布的上一轮更新仅覆盖 19.2 及更高版本，而新的修复版本比上一轮更新高出一个补丁级别。这意味着仅安装了 10 月 12 日补丁的管理员，可能仍需再次升级才能真正获得保护。

自托管 GitLab 实例通常处于企业软件开发流程的核心位置，存放着源代码，并运行自动化的构建与部署流水线。这类系统上存在无需身份验证的远程代码执行漏洞，可能为攻击者打开一条直插敏感开发基础设施的通道。

运行自托管 GitLab 实例的管理员应尽快核实当前版本，并在条件允许时安装 10 月 21 日发布的修复版本。有关该漏洞的细节、受影响版本及补丁时间线，均来自 The Hacker News 的报道。

如何阅读本页

仅限授权 · 基于证据 · 反映检测时点的状态。Aegis 无法保证不存在弱点或隐藏设备。在本机上，对外的 HTTP/TLS 实时检测可能被网络拦截，此时会如实标为覆盖缺口。严重程度与置信度分开呈现。已启用持久存储时，完成的评估会保存在加密存储中。主题选择可能保存在此浏览器中。你也可以导出一份副本带走。