GitLab đã phát hành các bản vá bảo mật quan trọng cho nhiều phiên bản nhằm khắc phục sáu lỗ hổng CVE nghiêm trọng. Những lỗ hổng này có thể bị khai thác để thực hiện các cuộc tấn công từ chối dịch vụ (Denial-of-Service – DoS), giả mạo yêu cầu phía máy chủ (Server-Side Request Forgery – SSRF) và tiết lộ thông tin nhạy cảm.

Công ty khuyến nghị mạnh mẽ tất cả các cài đặt tự quản lý (self-managed installations) nâng cấp ngay lập tức lên các phiên bản 18.3.2, 18.2.6 và 18.1.6, áp dụng cho cả Community Edition và Enterprise Edition. Việc cập nhật sớm là cực kỳ cần thiết để bảo vệ hệ thống khỏi các nguy cơ tiềm tàng. GitLab.com đã được cập nhật lên các phiên bản đã vá, trong khi khách hàng GitLab Dedicated không cần hành động.

Cảnh báo CVE: Chi tiết các lỗ hổng nghiêm trọng trong GitLab

Bản phát hành bảo mật này giải quyết nhiều vấn đề nghiêm trọng, từ các vector tấn công DoS đa dạng đến các lỗ hổng CVE cho phép SSRF và rò rỉ thông tin. Duy trì phiên bản phần mềm cập nhật là yếu tố then chốt để đảm bảo an ninh mạng.

CVE-2025-6454: Lỗ hổng SSRF qua Webhook Custom Headers (CVSS 8.5)

Đây là lỗ hổng CVE nghiêm trọng nhất với điểm CVSS 8.5. Nó cho phép người dùng đã xác thực (authenticated users) thực hiện các cuộc tấn công giả mạo yêu cầu phía máy chủ (SSRF) thông qua việc thao túng các tiêu đề tùy chỉnh (custom headers) của webhook.

Lỗ hổng này ảnh hưởng đến tất cả các phiên bản GitLab từ 16.11 trở đi. Kẻ tấn công có thể lợi dụng việc chèn các chuỗi được tạo sẵn (crafted sequences) vào tiêu đề webhook để vượt qua các kiểm soát bảo mật và thực hiện các yêu cầu đến các dịch vụ nội bộ hoặc thông tin nhạy cảm mà lẽ ra không thể truy cập từ bên ngoài.

Tham khảo chi tiết tại NVD – CVE-2025-6454.

CVE-2025-2256: Tấn công từ chối dịch vụ (DoS) thông qua thao túng phản hồi SAML (CVSS 7.5)

Với điểm CVSS 7.5, lỗ hổng CVE này tạo ra điều kiện từ chối dịch vụ. Nó ảnh hưởng đến một phạm vi rộng lớn các phiên bản GitLab, từ 7.12 trở đi.

Lỗ hổng cho phép người dùng không được ủy quyền làm cho các phiên bản GitLab không phản hồi. Điều này xảy ra khi kẻ tấn công gửi nhiều phản hồi SAML (Security Assertion Markup Language) lớn cùng lúc, tiêu tốn tài nguyên hệ thống và dẫn đến gián đoạn dịch vụ.

CVE-2025-1250: Lỗ hổng CVE gây DoS trong quá trình xử lý tác vụ nền (CVSS 6.5)

Đây là một lỗ hổng CVE (CVSS 6.5) cho phép người dùng đã xác thực làm đình trệ quá trình xử lý tác vụ nền (background job processing). Điều này có thể được kích hoạt thông qua các tin nhắn commit, mô tả yêu cầu hợp nhất (merge request descriptions) hoặc ghi chú được tạo sẵn độc hại.

Các phiên bản GitLab từ 15.0 trở đi đều bị ảnh hưởng. Đình trệ các tác vụ nền quan trọng có thể gây chậm trễ trong các hoạt động hệ thống và ảnh hưởng đến hiệu suất.

CVE-2025-7337: Lỗ hổng CVE về DoS kéo dài từ việc tải lên tệp lớn (CVSS 6.5)

Một lỗ hổng CVE khác (CVSS 6.5) liên quan đến cơ chế tải lên tệp. Nó cho phép người dùng đã xác thực với quyền truy cập cấp độ Developer gây ra các điều kiện từ chối dịch vụ dai dẳng (persistent DoS) bằng cách tải lên các tệp có kích thước lớn một cách cố ý.

Các phiên bản GitLab từ 7.8 trở đi bị ảnh hưởng. Việc xử lý các tệp quá lớn có thể cạn kiệt tài nguyên máy chủ, dẫn đến gián đoạn dịch vụ liên tục.

CVE-2025-10094: Gián đoạn hoạt động Token bằng tên quá dài (Medium Severity)

Đây là một lỗ hổng CVE có mức độ nghiêm trọng trung bình, ảnh hưởng đến các phiên bản GitLab từ 10.7 trở đi. Lỗ hổng cho thấy cách người dùng đã xác thực có thể làm gián đoạn việc liệt kê token và các hoạt động quản trị khác bằng cách tạo các token với tên có độ dài vượt quá giới hạn.

Việc tạo ra các token với tên cực kỳ dài có thể gây ra lỗi trong các truy vấn cơ sở dữ liệu hoặc giao diện người dùng, làm gián đoạn khả năng quản lý token.

CVE-2025-6769: Rò rỉ thông tin ghi chú bảo trì quản trị viên (CVSS 4.3)

Với điểm CVSS 4.3, lỗ hổng tiết lộ thông tin này cho phép người dùng đã xác thực xem các ghi chú bảo trì chỉ dành cho quản trị viên. Việc này được thực hiện bằng cách truy cập chi tiết runner thông qua các giao diện cụ thể.

Các phiên bản GitLab từ 15.1 trở đi bị ảnh hưởng. Việc rò rỉ các ghi chú bảo trì có thể tiết lộ thông tin nhạy cảm về cấu hình hệ thống hoặc các vấn đề nội bộ khác.

Quy trình phát hiện và Khuyến nghị về bản vá bảo mật

Tất cả các lỗ hổng CVE được liệt kê đều đã được phát hiện thông qua chương trình săn lỗi nhận thưởng (HackerOne bug bounty program) của GitLab. Các nhà nghiên cứu yuki_osaki, ppee, pwnie và iamgk808 đã được ghi nhận cho việc tiết lộ có trách nhiệm.

GitLab nhấn mạnh rằng các vấn đề bảo mật sẽ được công khai trên hệ thống theo dõi vấn đề của họ 30 ngày sau khi phát hành bản vá bảo mật. Điều này củng cố tầm quan trọng của việc cập nhật ngay lập tức cho các cài đặt tự quản lý. Trì hoãn áp dụng các bản vá có thể khiến hệ thống gặp phải các rủi ro bảo mật nghiêm trọng, mở ra cánh cửa cho các cuộc tấn công mạng.

Liên kết tham khảo thêm

• Chi tiết bản phát hành của GitLab: GitLab Patch Release 18.3.2
• Thông tin chi tiết CVE-2025-6454 trên NVD: NVD – CVE-2025-6454