漏洞概述 | |||
漏洞名称 | GitLab CE/EE存在LFS Token泄露致权限提升漏洞（CVE-2024-8114） | ||
安恒CERT评级 | 2级 | CVSS3.1评分 | 8.2 |
CVE编号 | CVE-2024-8114 | CNVD编号 | 未分配 |
CNNVD编号 | 未分配 | 安恒CERT编号 | DM-202408-003831 |
POC情况 | 未发现 | EXP情况 | 未发现 |
在野利用 | 未发现 | 研究情况 | 分析中 |
危害描述 | 攻击者可以利用受害者的个人访问令牌（PAT）来获取LFS令牌，进而访问LFS中存储的敏感信息以用户的身份执行未经授权的操作。 | ||
该产品主要使用客户行业分布广泛，漏洞危害性高，建议客户尽快做好自查及防护。
漏洞信息
漏洞描述
漏洞危害等级：高危
漏洞类型：权限提升
影响范围
8.12 <= GitLab EE/CE <17.4.5
17.5 <= GitLab EE/CE < 17.5.3
17.6 <= GitLab EE/CE < 17.6.1
安全版本：
GitLab EE/CE >= 17.5.3
GitLab EE/CE >= 17.6.1
CVSS向量
访问途径（AV）：网络
攻击复杂度（AC）：高
所需权限（PR）：低
用户交互（UI）：不需要用户交互
影响范围 （S）：改变
机密性影响 （C）：高
完整性影响 （l）：高
可用性影响 （A）：无
修复方案
官方修复方案：
官方已发布修复方案，受影响的用户建议更新至安全版本。官方链接：
https://about.gitlab.com/update
参考资料
技术支持
如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。
