本分分享極狐GitLab 補丁版本 18.1.1, 18.0.3, 17.11.5 的詳細內容。這幾個版本包含重要的缺陷和安全修復代碼，我們強烈建議所有私有化部署用户應該立即升級到上述的某一個版本。對於極狐GitLab SaaS，技術團隊已經進行了升級，無需用户採取任何措施。
極狐GitLab 正式推出面向 GitLab 老舊版本的專業升級服務，專業技術人員為 GitLab 版本升級提供企業級服務，讓企業業務暢行無憂！
漏洞詳情
| 漏洞標題 | 嚴重等級 | CVE ID |
|---|---|---|
| DoS 攻擊影響 GitLab JH/EE/CE | 中等 | CVE-2025-3279 |
| 確認的認證問題影響 GitLab JH/EE/CE | 中等 | CVE-2025-1754 |
| 不適當的訪問控制問題影響 GitLab JH/EE/CE | 中等 | CVE-2025-5315 |
| 權限提升影響 GitLab JH/EE/CE | 低 | CVE-2025-2938 |
| 不適當的訪問控制問題影響 GitLab JH/EE | 低 | CVE-2025-5846 |
CVE-2025-3279
在特定情況下，能夠允許經過認證的攻擊者通過發送偽造的 GraphQL 請求來創建 DoS 攻擊條件。影響從 10.7 開始到 17.11.5 之前的所有版本、從 18.0 開始到 18.0.3 之前的所有版本以及從 18.1 開始到 18.1.1 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H，6.5）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-3279。
CVE-2025-1754
在特定條件下，能夠允許未經授權的攻擊者通過發送偽造的 API 請求來上傳任意文件到公開項目，從而導致資源濫用以及未經認證的內容存儲。影響從 17.2 開始到 17.11.5 之前的所有版本、從 18.0 開始到 18.0.3 之前的所有版本以及從 18.1 開始到 18.1.1 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N，5.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-1754。
CVE-2025-5315
在特定條件下，具有旗艦版極狐GitLab 實例訪問權限的攻擊者可以將惡意的 CI/CD 作業注入到任何項目的，以合法用户身份執行未授權操作。影響從 17.2 開始到 17.11.5 之前的所有版本、從 18.0 開始到 18.0.3 之前的所有版本以及從 18.1 開始到 18.1.1 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H, 4.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-5315。
CVE-2025-2938
在特定條件下，該漏洞可能允許經過身份驗證的用户通過以下方式獲取過高的項目權限：在審批流程中請求訪問項目時，由於角色修改導致意外授予權限的情況。影響從 17.3 開始到 17.11.5 之前的所有版本、從 18.0 開始到 18.0.3 之前的所有版本以及從 18.1 開始到 18.1.1 之前的所有版本。這是一個低級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N，3.1）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-2938。
CVE-2025-5846
在特定條件下，該漏洞可能允許已認證用户通過構造特定的 GraphQL 變更加載，繞過合規框架的權限檢查，從而將無關的合規框架分配給項目。影響從 16.10 開始到 17.11.5 之前的所有版本、從 18.0 開始到 18.0.3 之前的所有版本以及從 18.1 開始到 18.1.1 之前的所有版本。這是一個低級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N，2.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-5846。
影響版本
CVE-2025-3279
- 10.7 <=GitLab JH/EE/CE < 17.11.5
- 18.0 <= GitLab JH/EE/CE < 18.0.3
- 18.1 <= GitLab JH/EE/CE < 18.1.1
CVE-2025-1754
- 17.2 <=GitLab JH/EE/CE < 17.11.5
- 18.0 <= GitLab JH/EE/CE < 18.0.3
- 18.1 <= GitLab JH/EE/CE < 18.1.1
CVE-2025-5315
- 17.2 <=GitLab JH/EE/CE < 17.11.5
- 18.0 <= GitLab JH/EE/CE < 18.0.3
- 18.1 <= GitLab JH/EE/CE < 18.1.1
CVE-2025-2938
- 17.3 <=GitLab JH/EE/CE < 17.11.5
- 18.0 <= GitLab JH/EE/CE < 18.0.3
- 18.1 <= GitLab JH/EE/CE < 18.1.1
CVE-2025-5846
- 16.10 <=GitLab EE/JH < 17.11.5
- 18.0 <= GitLab EE/JH < 18.0.3
- 18.1 <= GitLab EE/JH < 18.1.1
升級前提
版本查看
有多種方法可以查看當前 GitLab/極狐GitLab 版本信息的方法，下面推薦兩種常用方法：
第一種：
直接在 GitLab/極狐GitLab 實例 URL 後面加上 /help 即可查看，比如當前實例的地址為 jihulab.com，那麼在瀏覽器中輸入 jihulab.com/help 即可查看到對應的版本信息；
第二種：
對於私有化部署用户來説，如果是管理員可以通過管理中心 --> 儀表盤 --> 組件中心可以看到對應的版本信息。
升級路徑查看
GitLab/極狐GitLab 的升級必須嚴格遵守升級路徑，否則很容易出現問題。升級路徑查看鏈接：https://gitlab.cn/support/toolbox/upgrade-path/。輸入當前版本信息（上一步中的查詢結果），選擇升級的目標版本，即可獲取完整升級路徑。
升級指南
我們強烈建議所有受以下問題描述所影響的安裝實例儘快升級到最新版本。當沒有指明產品部署類型的時候（omnibus、源代碼、helm chart 等），意味着所有的類型都有影響。
對於GitLab/極狐GitLab 私有化部署版的用户，通過將原有的GitLab JH/EE/CE升級至極狐GitLab 18.1.1-jh、18.0.3-jh、17.11.5-jh 版本即可修復該漏洞。
- Omnibus 安裝
使用 Omnibus 安裝部署的實例，升級詳情可以查看極狐GitLab 安裝包安裝升級文檔。
- Docker 安裝
使用 Docker 安裝部署的實例，可使用如下三個容器鏡像將產品升級到上述三個版本：
registry.gitlab.cn/omnibus/gitlab-jh:18.1.1-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:18.0.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.11.5-jh.0升級詳情可以查看極狐GitLab Docker 安裝升級文檔。
- Helm Chart 安裝
使用雲原生安裝的實例，可將使用的 Helm Chart 升級到 9.1.1(對應 18.1.1-jh）、9.0.3（對應 18.0.3-jh）、8.11.5（對應 17.11.5-jh）來修復該漏洞。升級詳情可以查看 Helm Chart 安裝升級文檔。
| JH 版本 | 18.1.1 | 18.0.3 | 17.11.5 |
|---|---|---|---|
| Chart 版本 | 9.1.1 | 9.0.3 | 8.11.5 |
對於SaaS用户（jihulab.com），無需進行任何操作，我們已經升級SaaS以修復該漏洞。
極狐GitLab 技術支持
極狐GitLab 技術支持團隊對付費客户GitLab（基礎版/專業版）提供全面的技術支持，您可以通過https://support.gitlab.cn/#/portal/myticket 將問題提交。
如果您是免費用户，可以查看 GitLab 升級指南！
