一、漏洞详情

Gitlab是目前被广泛使用的基于git的开源代码管理平台,基于Ruby on Rails构建,主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建Web服务。

GitLab官方发布更新公告，修复了GitLab社区版（CE）和企业版（EE）中的一个目录遍历漏洞（CVE-2023-2825）。当嵌套在至少五个组中的公共项目中存在附件时，可在未经身份验证的情况下通过uploads功能遍历读取任意文件，导致敏感信息泄露。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

GitLab CE/EE版本：16.0.0

三、修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

GitLab CE/EE版本：>= 16.0.1