GitLab CVE-2025-10307 漏洞解决方案

原创

于 2025-04-02 15:00:00 发布 · 587 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#gitlab #devops #DevSecOps #GitLab

极狐GitLab 正式发布最新的安全补丁版本 17.10.1、17.9.3、17.8.6 ，共计修复 6 个安全漏洞（3 个高位、2 个中等以及 1 个低级别）。CVE-2024-10307 是其中一个漏洞。

GitLab 免费版用户，可以查看GitLab 升级指导服务

漏洞详情

标题	严重等级	CVE ID
通过合并请求中精心伪造的 terraform 文件导致不受控的资源消耗	中等	CVE-2025-10307

影响版本

12.10 <= GitLab CE/EE/JH < 17.8.6
17.9 <= GitLab CE/EE/JH < 17.9.3
17.10 <= GitLab CE/EE/JH < 17.10.1

解决办法

对于受影响的极狐GitLab 私有化部署用户 建议立即升级到 17.10.1、17.9.3、17.8.6 中的某一个版本，以避免该漏洞带来的安全风险。而对于 SaaS 团队用户，则无需任何操作，极狐GitLab 技术专家团队已经完成升级。

以下内容仅针对私有化部署用户。

最低0.47元/天解锁文章

200万优质内容无限畅学

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

极小狐

关注关注

18
点赞
踩
14

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

参与评论您还未登录，请先登录后发表或查看评论

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【十一】

07-31

846

沿袭我们的月度发布传统，极狐GitLab 发布了 18.2 版本，该版本带来了议题和任务的自定义工作流状态、新的合并请求主页、新的群组概览合规仪表盘、下载安全报告的 PDF 导出文件、中心化的安全策略管理（Beta）等几十个重点功能的改进。下面是对部分重点功能的详细解读。关于极狐GitLab 的安装升级，可以查看。

博客

GitLab 安全漏洞 CVE-2025-1299 解决方案

07-31

539

极狐GitLab发布18.2.1、18.1.3和18.0.5补丁版本，修复高危漏洞CVE-2025-1299（4.3 CVSS评分）。该漏洞允许未授权用户读取部署日志，影响15.4至18.2.1之间的多个版本。SaaS用户已完成自动升级，私有化部署用户需手动升级至指定版本。升级方法包括Omnibus、Docker（使用特定镜像）和Helm Chart（升级至对应Chart版本）。用户可通过/help页面或管理中心查看当前版本，并参考官方升级路径指南完成升级。

博客

GitLab 安全漏洞 CVE-2025-0765 解决方案

07-30

1388

极狐GitLab发布重要安全补丁版本18.2.1、18.1.3和18.0.5，修复了高危漏洞CVE-2025-0765。该漏洞可能导致未授权用户访问敏感信息，影响17.9至18.2.1之间的多个版本。SaaS用户已完成自动升级，私有化部署用户需立即升级。升级前需查看当前版本并遵循官方升级路径，支持Omnibus、Docker和Helm Chart多种部署方式。升级目标版本对应的容器镜像和Chart版本也已明确列出，建议用户尽快采取措施修复漏洞。

博客

GitLab 安全漏洞 CVE-2025-7001 解决方案

07-30

812

极狐GitLab发布了18.2.1、18.1.3和18.0.5三个补丁版本，修复了中等严重性漏洞CVE-2025-7001（未授权访问敏感信息问题）。该漏洞影响15.0至18.2.1之前的所有版本，CVSS评分为2.7。私有化部署用户需立即升级，升级路径支持Omnibus、Docker和Helm Chart三种安装方式。SaaS用户已自动升级无需操作。免费版用户可参考官方升级指导文档完成升级。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【十】

07-30

697

极狐GitLab 18.2版本发布，带来多项DevSecOps功能更新，包括自定义工作流状态、合规仪表盘、PDF安全报告导出等。新版本支持TOTP多因素认证的DAST扫描，改进登录验证机制，并新增依赖路径分析功能，帮助开发者更高效识别和修复依赖问题。升级指南和容器镜像信息已同步更新，用户可通过官方文档获取详细说明。该版本主要面向旗舰版用户，提供更完善的安全测试和依赖管理能力。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【九】

07-30

243

极狐GitLab 18.2版本发布，带来多项DevSecOps功能改进，包括自定义工作流状态、合并请求主页优化、合规仪表盘等。新版本支持统一的工作项引用语法和文本编辑器改进，同时触发器作业新增状态镜像功能，提升下游流水线状态可见性。提供18.2.0容器镜像和Helm Chart，支持SaaS和私有化部署的各版本升级。详细功能解读可参考系列关联文章。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【八】

07-29

570

极狐GitLab发布18.2版本，带来多项DevSecOps功能更新，包括自定义工作流状态、合并请求主页优化、合规仪表盘、安全报告PDF导出等。此次更新支持从占位用户重新指派为非活跃用户，并新增史诗（Epic）里程碑分配功能以强化长期规划。同时，史诗页面新增抽屉视图和整页导航切换选项，提升用户体验。版本提供容器镜像和Helm Chart两种部署方式，支持不同层级的部署需求。详细功能解读可通过关联阅读获取。

博客

GitLab 安全漏洞 CVE-2025-4439 解决方案

07-29

503

极狐GitLab发布18.2.1、18.1.3和18.0.5三个补丁版本，修复了一个高危跨站脚本(XSS)漏洞(CVE-2025-4439)。该漏洞影响15.10至18.2.1之前的所有版本，当实例通过特定CDN服务时，可能允许认证用户执行XSS攻击。SaaS用户已完成自动升级，私有化部署用户需立即升级至上述任一版本。升级方式包括Omnibus安装包、Docker镜像和Helm Chart三种方案，用户需按照官方升级路径进行版本更新。建议管理员通过/help或管理中心查看当前版本，并参考官方文档完成升级操作

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【七】

07-29

652

极狐GitLab 18.2版本发布，带来多项DevSecOps功能更新，包括自定义工作流状态、合并请求主页优化、合规仪表盘等。该版本支持容器镜像和Helm Chart部署，提供详细的升级指南。重点功能包括：自定义管理员角色（Beta）、审计流控制开关以及增强的审计事件过滤功能，这些改进提升了权限管理和安全监控能力。相关功能详解可通过系列技术文章进一步了解。

博客

GitLab 安全漏洞 CVE-2025-4700 解决方案

07-29

1259

极狐GitLab发布补丁版本18.1.2、18.0.4、17.11.6，修复高危XSS漏洞（CVE-2025-4700）。该漏洞影响15.10至18.2.1之间的多个版本，可能导致Kubernetes代理遭受跨站脚本攻击。私有化部署用户需立即升级至修复版本，提供Omnibus、Docker和Helm Chart三种升级方案。极狐GitLab SaaS用户已完成自动升级。升级前需确认当前版本并遵循官方升级路径指引。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【六】

07-29

445

极狐GitLab 18.2版本发布，带来多项DevSecOps功能升级。新版本支持议题工作流状态自定义、合并请求主页改版、群组合规仪表盘等功能，并优化了安全策略管理。特别新增漏洞报告的可达性过滤、审批策略的源分支模式例外（解决GitFlow工作流审批问题）以及漏洞ID导出功能。升级支持容器镜像和Helm Chart部署，旗舰版用户可体验全部新特性。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【五】

07-29

307

极狐GitLab发布18.2版本，带来多项DevSecOps功能升级，包括自定义工作流状态、合并请求主页优化、合规仪表盘等。该版本支持容器扫描多架构镜像，改进归档文件扫描，并新增JavaScript静态可达性分析功能。提供18.2.0容器镜像和Helm Chart部署选项，详细升级指南可参考官方文档。版本功能覆盖基础版至旗舰版，为不同规模团队提供安全增强。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【四】

07-28

333

极狐GitLab发布18.2版本，带来多项DevSecOps功能更新，包括自定义工作流状态、合并请求主页优化、合规仪表盘等。升级指南和镜像信息已提供。新版本支持史诗展示外观自定义、GLQL视图排序分页优化，并发布了Runner 18.2版本，修复多项缺陷。各功能在不同版本中的可用性已明确标注。相关阅读链接可深入了解新功能详情。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【三】

07-28

414

极狐GitLab发布18.2版本，带来多项DevSecOps功能升级。新版本支持自定义工作流状态、合并请求主页改版、合规仪表盘增强及安全报告PDF导出等功能。重点推出中心化安全策略管理（Beta），支持统一创建和强制执行安全策略；管理员可无需确认重新指派用户贡献；新增史诗指派人功能，便于战略项目管理。提供18.2.0容器镜像和Helm Chart版本，详细功能解读可参考关联文章。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【二】

07-28

315

极狐GitLab 18.2版本发布，带来多项重要功能更新，包括：自定义工作流状态、合并请求主页优化、群组合规仪表盘（旗舰版专享）、安全报告PDF导出（旗舰版专享）、中心化安全策略管理等。新版本支持容器镜像和Helm Chart部署。重点功能包括：为合规管理提供聚合视图的群组概览仪表盘，支持实例级Kubernetes代理映射（专业版/旗舰版），以及可将安全仪表盘导出为PDF文档的功能，便于与利益相关方共享漏洞管理进展。升级指南详见官方文档。

博客

GitLab 18.2 发布几十项与 DevSecOps 有关的功能，可升级体验【一】

07-28

1059

极狐GitLab 18.2版本带来多项功能升级：支持议题/任务自定义工作流状态，提供更精准的进度管理；全新合并请求主页优化代码评审体验，新增工作流和角色视图；推出不可变容器标签功能，通过正则表达式保护关键镜像不被修改。该版本还包含合规仪表盘、安全报告导出等改进，适用于专业版和旗舰版用户。容器镜像和Helm Chart已同步更新，SaaS和私有化部署用户均可体验新功能。

博客

驭码 CodeRider 2.1.2 版本发布

07-23

691

版本：v1.7.0 (2024-11-21)版本：v1.6.1 (2024-10-22)版本：v1.6.0 (2024-10-12)版本：v1.0.0 (2024-05-28)版本：v1.9.2 (2025-2-25)版本：v1.9.1 (2025-2-16)版本：v1.9.0 (2025-2-14)版本：v1.8.1 (2025-1-14)版本：v1.8.0 (2025-1-10)版本：v1.5.0 (2024-9-20)版本：v1.3.5 (2024-7-16)版本：v2.1.0(2025-5-16)

博客

GitLab 安全漏洞 CVE-2025-6168 解决方案

07-16

948

极狐GitLab发布了三个补丁版本(18.1.2、18.0.4、17.11.6)，修复了中等严重程度的CVE-2025-6168漏洞，该漏洞允许认证维护者绕过群组邀请限制。受影响版本为18.0-18.0.4和18.1-18.1.2之间的所有版本。私有化部署用户需立即升级，SaaS用户已自动完成升级。文档提供了Omnibus、Docker和Helm Chart三种部署方式的升级指南，并强调必须遵循升级路径。建议用户通过/help页面或管理中心查看当前版本，并参考官方升级路径工具制定升级计划。

博客

驭码 CodeRider 产品介绍

07-15

402

驭码CodeRider 产品介绍

博客

GitLab 安全漏洞 CVE-2025-4972 解决方案

07-15

589

极狐GitLab发布18.1.2、18.0.4和17.11.6三个补丁版本，修复了CVE-2025-4972授权漏洞（CVSS评分4.3），该漏洞可能允许项目所有者绕过群组派生限制。影响范围包括GitLab JH/EE/CE 13.3至17.11.6、18.0至18.0.4以及18.1至18.1.2之前的版本。私有化部署用户需立即升级，Omnibus、Docker和Helm Chart安装方式分别提供了对应的升级方案。SaaS用户无需操作，系统已自动完成升级。用户可通过/help页面或管理中心查看当前版本，