漏洞分享 - GitLab 存在多個漏洞
GitLab 存在多個漏洞
一、摘要
GitLab 發布 18.7.1、18.6.3、18.5.5 等版本，修補多項影響 GitLab Community Edition (CE) 及 Enterprise Edition (EE) 的安全漏洞及功能異常，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS）與資訊洩露等風險。建議所有自我管理（self-managed） 的 GitLab 實例儘速升級以降低資安風險。
二、存在風險
GitLab Patch Release 修補了數項安全弱點，可能被惡意使用者利用造成 跨站腳本 (XSS)、未授權存取、阻斷服務 (DoS)、資訊洩漏 及 安全檢查繞過 等攻擊，其影響系統或版本如下：
- 受影響之系統/漏洞描述：
- GitLab Community Edition (CE) 版本 18.2.2 起但低於 18.5.5 / 18.6.3 / 18.7.1 之版本
- GitLab Enterprise Edition (EE) 版本 18.2.2 起但低於 18.5.5 / 18.6.3 / 18.7.1 之版本
主要漏洞修補摘要：
- CVE-2025-9222 — Stored Cross-site Scripting（XSS）
- 可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊，此漏洞嚴重性屬 High (CVSS 8.7)。
- CVE-2025-13761 — Web IDE XSS
- 未經身份驗證者可誘使合法使用者瀏覽特定頁面後，在其瀏覽器上下文執行任意程式碼，亦為 High (CVSS 8.0) 風險漏洞。
- CVE-2025-13772 — Duo Workflows API 權限不足
- 已驗證使用者可能利用 API 的 namespace 參數擅自存取或變更 AI 模型設定，此為 High 級別漏洞。
- CVE-2025-10569 — 匯入功能 DoS
- 攻擊者藉由對外部API呼叫提供特製回應，造成 GitLab 實例資源耗盡或阻斷服務。
- CVE-2025-11246 — GraphQL runnerUpdate 權限控制
- 具備特定權限的使用者，移除不相關專案的Runner資源（runner）。
- CVE-2025-3950 — Mermaid 圖表資訊洩漏
- 使用特製圖片可能繞過 Asset Proxy 行為，洩露連線相關敏感資訊。
三、建議改善措施：
企業及使用者如有遭受上述漏洞影響之 GitLab 版本，請儘速更新至最新版 Patch Release：
- 請將 GitLab CE／EE 更新至以下版本之一：
- 18.7.1
- 18.6.3
- 18.5.5
- 升級前請依官方說明備份資料並評估資料庫遷移需求：
- 單節點部署 (Single-node) 可能需要停機以完成升級及資料庫 migration。
- 多節點部署則可透過 Zero-downtime 升級流程進行，以降低服務中斷影響。
- 其他安全強化建議：
- 限制 GitLab Web 介面及 API 存取僅允許內部網段或 VPN 存取。
- 建立例行性版本更新通知與漏洞監控流程。
- 確保系統日誌、資安事件監控與入侵偵測持續運作。
