GitLab vá nhiều lỗ hổng DoS nghiêm trọng, nguy cơ nhiều dịch vụ bị tê liệt

[WhiteHat Team]

Nền tảng quản lý mã nguồn và DevOps phổ biến GitLab vừa công bố bản vá bảo mật khẩn cấp sau khi phát hiện nhiều lỗ hổng có mức độ từ trung bình tới nghiêm trọng. Các lỗ hổng này có thể bị kẻ tấn công khai thác để gây ra tấn công từ chối dịch vụ (DoS), khiến toàn bộ hệ thống GitLab tự quản lý (self-managed) bị tê liệt, gián đoạn pipeline CI/CD, thậm chí ảnh hưởng đến dữ liệu.

​

Những sự cố này không yêu cầu tài khoản đăng nhập, nghĩa là bất kỳ ai trên Internet cũng có thể khai thác, đặt ra rủi ro rất lớn cho doanh nghiệp, tổ chức đang sử dụng GitLab.

Theo GitLab, các lỗ hổng ảnh hưởng tới cả bản Community Edition (CE) lẫn Enterprise Edition (EE) ở những phiên bản trước 18.4.1, 18.3.3 và 18.2.7. Trong số đó, nổi bật có:

• CVE-2025-10858 (CVSS 7,5): Cho phép gửi JSON độc hại tới API uploads, khiến CPU và bộ nhớ bị quá tải, làm server Rails không phản hồi.
• CVE-2025-8014 (CVSS 7,5): Lợi dụng lỗ hổng trong giới hạn độ phức tạp của GraphQL. Bằng cách gửi truy vấn quá phức tạp hoặc lồng ghép nhiều lớp, kẻ tấn công có thể khiến cụm worker của GitLab bị rơi vào vòng lặp crash.

Ngoài ra còn có các lỗ hổng mức trung bình:

• CVE-2025-9958 (CVSS 6,8): Rò rỉ thông tin cấu hình registry ảo qua API, có thể để lộ token registry.
• CVE-2025-7691 (CVSS 6,5): Cho phép developer có quyền quản lý nhóm tự nâng quyền bằng API.

Một số lỗ hổng mức thấp hơn nhưng vẫn có thể làm giảm hiệu năng, như lỗi trong blobSearch của GraphQL (có thể gây vòng lặp vô hạn), hay lỗi trong xử lý chuỗi Ruby dẫn tới tiêu tốn tài nguyên.

Các lỗ hổng chủ yếu xuất phát từ việc kiểm soát chưa chặt chẽ đầu vào API và GraphQL. Khi hệ thống không giới hạn độ phức tạp hoặc không xử lý đúng định dạng JSON, kẻ tấn công có thể dễ dàng gửi gói tin “quá tải” để làm cạn kiệt tài nguyên máy chủ.

Với DoS, kẻ tấn công không cần truy cập vào dữ liệu, chỉ cần làm hệ thống ngừng hoạt động. Điều này đặc biệt nguy hiểm trong môi trường doanh nghiệp khi GitLab thường là “xương sống” cho quy trình phát triển phần mềm, CI/CD và lưu trữ mã nguồn.

Hậu quả khi bị khai thác có thể rất nghiêm trọng:

• Ngừng dịch vụ: CI/CD pipeline bị gián đoạn, ảnh hưởng trực tiếp tới việc phát triển và triển khai phần mềm.
• Nguy cơ mất dữ liệu gián tiếp: Khi server treo, crash hoặc buộc phải restart, có thể gây mất dữ liệu tạm thời hoặc lỗi trong quá trình commit/build.
• Ảnh hưởng hệ thống đa tenant: Nếu GitLab được triển khai trong môi trường dùng chung, các dịch vụ đi kèm cũng có thể bị ảnh hưởng.
• Nguy cơ leo thang tấn công: Các lỗ hổng thông tin và nâng quyền có thể bị kết hợp với DoS để mở rộng phạm vi khai thác.

Lỗ hổng này ảnh hưởng đến tất cả các phiên bản GitLab CE/EE tự quản lý chưa được cập nhật. Đối với GitLab Dedicated (dịch vụ do GitLab vận hành), các bản vá đã được triển khai tự động, nên khách hàng không bị ảnh hưởng.

Tuy nhiên, với hàng nghìn doanh nghiệp trên toàn cầu đang tự triển khai GitLab nội bộ, nguy cơ trở thành mục tiêu tấn công là rất cao nếu chưa nâng cấp.

GitLab đã phát hành bản vá cho các phiên bản:

• 18.4.1
• 18.3.3
• 18.2.7

Bản vá này không yêu cầu migration database và có thể cập nhật trên cụm nhiều node mà không downtime. Ngoài ra, GitLab còn cập nhật PostgreSQL lên bản 16.10 để xử lý thêm các lỗ hổng CVE khác.

CVE​	Ảnh hưởng​	Điểm CVSS​	Mức độ nghiêm trọng​
CVE-2025-10858	Từ chối dịch vụ thông qua tải lên JSON được tạo thủ công	7,5	Cao
CVE-2025-8014	Từ chối dịch vụ bỏ qua giới hạn độ phức tạp của truy vấn	7,5	Cao
CVE-2025-9958	Tiết lộ thông tin trong cấu hình sổ đăng ký ảo	6.8	Trung bình
CVE-2025-7691	Nâng cao đặc quyền từ bên trong vai trò Nhà phát triển	6,5	Trung bình
CVE-2025-10871	Ủy quyền không đúng cho Người duy trì dự án khi chỉ định vai trò	3.8	Thấp
CVE-2025-10867	Từ chối dịch vụ trong API GraphQL blobSearch	3,5	Thấp
CVE-2025-5069	Chỉ định quyền sở hữu không chính xác thông qua danh sách thả xuống Di chuyển sự cố	3,5	Thấp
CVE-2025-10868	Từ chối dịch vụ thông qua các phương pháp chuyển đổi chuỗi	3,5	Thấp

Khuyến cáo từ chuyên gia dành cho quản trị viên:

• Cập nhật GitLab CE/EE ngay lập tức lên phiên bản vá mới nhất.
• Tránh để hệ thống chạy phiên bản cũ quá lâu, đặc biệt khi có thông báo bảo mật mới.
• Giám sát hiệu năng máy chủ để phát hiện sớm các hành vi tiêu tốn tài nguyên bất thường.
• Với môi trường có nhiều tenant, cần triển khai cơ chế tách biệt, giảm thiểu rủi ro khi một dịch vụ bị DoS.

Các lỗ hổng lần này nhắc nhở cộng đồng rằng không chỉ dữ liệu mà cả tính sẵn sàng của hệ thống cũng là mục tiêu tấn công. Trong kỷ nguyên DevOps, khi GitLab được coi là “trái tim” của chuỗi phát triển phần mềm, một cuộc tấn công DoS có thể khiến cả doanh nghiệp tê liệt. Do đó, bản vá bảo mật không chỉ là khuyến cáo, mà là bước bắt buộc nếu các tổ chức muốn duy trì sự an toàn và ổn định cho hạ tầng CNTT của mình.

WhiteHat​