【误差通告】GitLab路径遍历误差（CVE-2026-85706)
宣布时间 2026-09-11一、误差概述
GitLab是一款面向软件开发全生命周期的DevSecOps平台，可为开发、清静和运维团队提供统一的协作与交付情形。GitLab支持Git代码客栈治理、分支和合并请求、代码审查、项目及使命治理，并内置CI/CD能力，可自动完成代码构建、测试和安排。同时，GitLab还提供应用清静扫描、误差治理、权限控制、软件包及容器镜像治理等功效，支持GitLab.com、Self-Managed和Dedicated等安排方法，普遍应用于企业代码托管、一连集成与一连交付以及软件研发清静治理等场景。
2026年9月11日，尊龙凯时清静应急响应中心（VSRC）监测到GitLab路径遍历误差。由于该接口保存路径限制不当以及身份认证执行缺失问题，在特定条件下，未经身份认证的远程攻击者可使用该误差读取GitLab服务器上的恣意文件，可能造成服务器敏感文件及相关数据泄露，对系统数据神秘性造成严重影响。该误差无需攻击者预先获得有用账户权限或用户交互，受影响系统保存较高的数据清静危害。
二、影响规模
18.7 <= GitLab CE/EE < 19.1.8
19.2 <= GitLab CE/EE < 19.2.6
19.3 <= GitLab CE/EE < 19.3.2
三、清静步伐
3.1 升级版本
官方已修复该误差，建议受影响用户实时升级至对应分支的已修复版本：
GitLab CE/EE 19.1.x >= 19.1.8
GitLab CE/EE 19.2.x >= 19.2.6
GitLab CE/EE 19.3.x >= 19.3.2
下载链接：
https://about.gitlab.com/
3.2 暂时步伐
暂无。
3.3 通用建议
按期更新系统补丁，镌汰系统误差，提升服务器的清静性。
增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。
使用企业级清静产品，提升企业的网络清静性能。
增强系统用户和权限治理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。
启用强密码战略并设置为按期修改。
3.4 参考链接
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
京公网安备11010802024551号