近期，极狐 GitLab 针对 16.x 版本正式推出安全版本 16.10.10, 16.9.11, 16.8.10, 16.7.10, 16.6.10, 16.5.10, 16.4.7, 16.3.9, 16.2.11, 16.1.8, 16.0.10，用来减缓安全漏洞 CVE-2024-45409 带来的安全风险。

极狐 GitLab 正式推出针对 GitLab CE 老旧版本免费用户的 https://dl.gitlab.cn/jvaf0tgf【https://dl.gitlab.cn/jvaf0tgf】，可以为老旧版本进行专业升级，避免业务宕机。

漏洞详情

漏洞详情

SAML 认证绕过

升级依赖项 omniauth-saml 至版本 2.2.1、ruby-saml 至 1.17.0，就能够缓解安全漏洞 CVE-2024-45409 带来的安全风险。此安全漏洞仅适用于已经配置了 SAML 认证的实例。

私有化部署实例：已知的减缓措施

以下两种方式可以成功阻止 CVE-2024-45409 漏洞的暴露：

1. 开为极狐 GitLab 私有化部署实例上的所有用户启双因素认证（注意：开启身份识别提供商的多因素认证并不能起作用）以及

2. 在极狐 GitLab 中不允许使用 SAML 双因素绕过选项

建议的操作

我们强烈建议所有受以下问题描述所影响的安装实例尽快升级到最新版本。当没有指明产品部署类型的时候（omnibus、源代码、helm chart 等），意味着所有的类型都有影响。

对于 GitLab/极狐 GitLab 私有化部署版的用户，通过将原有的 GitLab CE/EE/JH 升级至极狐 GitLab 16.10.10-jh、16.9.11-jh、16.8.10-jh、16.7.10-jh、16.6.10-jh、16.5.10-jh、16.4.7-jh、16.3.9-jh、16.2.11-jh、16.1.8-jh、16.0.10-jh 版本即可修复该漏洞。

Omnibus 安装

使用 Omnibus 安装部署的实例，升级详情可以查看极狐 GitLab 安装包安装升级文档。

Docker 安装

使用 Docker 安装部署的实例，可使用如下容器镜像将产品升级到上述版本：

• registry.gitlab.cn/omnibus/gitlab-jh:16.10.10-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.9.11-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.8.10-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.7.10-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.6.10-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.5.10-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.4.7-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.3.9-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.2.11-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.1.8-jh.0

• registry.gitlab.cn/omnibus/gitlab-jh:16.0.10-jh.0

升级详情可以查看极狐 GitLab Docker 安装升级文档。

Helm Chart 安装

使用云原生安装的实例，可将使用的 Helm Chart 升级到对应版本来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

JH 版本和 Helm Chart 版本映射图

可以使用如下几个命令查询任何 JH 所对应的 Helm chart 版本

# 添加 helm repohelm repo add jh-gitlab https://charts.gitlab.cn/
# 查询版本helm  search repo jh-gitlab -l | grep JH_VERSION

对于 SaaS 用户（jihulab.com），无需进行任何操作，我们已经升级 SaaS 以修复该漏洞。

极狐 GitLab 技术支持

极狐 GitLab 技术支持团队对付费客户 GitLab（基础版/专业版）提供全面的技术支持，您可以通过https://support.gitlab.cn/#/portal/myticket 将问题提交。

免费用户升级需求可以查看极狐 GitLab 近期推出的 https://dl.gitlab.cn/jvaf0tgf【https://dl.gitlab.cn/jvaf0tgf】。