GitLab 重大資安漏洞警訊：企業應儘速更新以防範原始碼與憑證外洩

重點：使用 GitLab 進行軟體開發或程式碼管理的企業，應立即檢查並更新系統版本，以防範攻擊者在無需身分驗證的情況下竊取敏感資料。

發生了什麼

數位發展部資通安全署近期發布警訊，指出 GitLab 產品中存在一個極高風險的資安漏洞。這類漏洞的危險之處在於，攻擊者可以在不需要任何身分驗證的情況下，直接從遠端讀取伺服器上的檔案。目前已確認有駭客正在利用此漏洞進行攻擊，且該威脅已被美國網路安全暨基礎設施安全局（CISA）列入已知遭利用漏洞清單中。這表示該漏洞並非僅存在於理論上的風險，而是已經在現實世界中被廣泛利用的即時威脅。

「該漏洞無須身分驗證即可遠端利用，攻擊者可能讀取GitLab伺服器上的任意檔案」

— 摘錄自數位發展部資通安全署

名格觀點：對企業的影響

對於高度依賴數位化開發流程的企業而言，此漏洞的衝擊不僅限於單一伺服器的安全性，更可能引發連鎖性的資安災難。首先，GitLab 存放著企業的核心技術資產，如程式原始碼，一旦外洩將直接導致智慧財產權流失。其次，漏洞可能導致系統設定檔與存取憑證（如 API 金鑰或 SSH 密鑰）被竊取，駭客可藉此取得更深層的權限，進而滲透至企業內部的其他網路區域。此外，若企業將受影響的程式碼納入產品發布，更可能對客戶端造成供應鏈攻擊的風險。

建議準備事項

• 立即進行資產盤點：確認企業內部或雲端環境中，是否正在使用受影響版本的 GitLab 系統。
• 執行版本更新：應優先依照原廠提供的安全修補建議，儘速完成軟體版本的升級與漏洞修補。
• 審查系統日誌：檢視近期是否有異常的檔案存取紀錄或不明來源的登入行為，以確認是否已遭入侵。
• 重新設定憑證：若發現任何可疑活動，應立即更換可能受影響的帳號密碼、存取金鑰與相關憑證，以防止攻擊者持續利用。
• 加強監控機制：針對開發環境與伺服器建立更嚴密的異常存取監控，確保能即時發現潛在威脅。

名格可以協助

名格可以協助企業導入 ISO 27001 資訊安全管理系統，透過建立系統化的風險評估、資產管理與漏洞修補流程，協助企業從制度面建立防禦機制，降低因軟體漏洞或人為疏失導致的資安風險。